एआई गंभीर सुरक्षा खामियों को खोजना तेजी से और आसान बना रहा है। अब, एक शोधकर्ता का कहना है कि उसने वीडियो चैट प्लेटफॉर्म ज़ूम में कमजोरियों का पता लगाने और 24 घंटे से भी कम समय में एक काम करने वाला हमला बनाने के लिए सार्वजनिक रूप से उपलब्ध मॉडलों का उपयोग किया।

मंगलवार को प्रकाशित एक रिपोर्ट में इसे 'ज़ूम्सडे' कहते हुए, इजरायली साइबर सुरक्षा फर्म ए सिक्योरिटी ने कहा कि एक शोधकर्ता ने ज़ूम के एनोटेशन टूल में खामियों का पता लगाने के लिए 20 से कम एआई प्रॉम्प्ट का उपयोग किया, जिससे बैठक में कोई व्यक्ति पीड़ित की ओर से बिना किसी कार्रवाई के दूसरे प्रतिभागी के डिवाइस का नियंत्रण ले सकता था।

ए सिक्योरिटी ने लिखा, "एक बार जब दुर्भावनापूर्ण कोड पीड़ित के डिवाइस पर चल रहा होता है, तो हमलावर चुपचाप व्यक्तिगत डेटा चुरा सकता है, लक्ष्य पर जासूसी करने के लिए माइक्रोफ़ोन या कैमरा चालू कर सकता है, या अन्य दुर्भावनापूर्ण सॉफ़्टवेयर स्थापित कर सकता है।" "एक बड़े कॉल में, यह एक ही संदेश से लक्ष्यों से भरा एक कमरा होता है, जिसमें कोई सुरक्षित सीट नहीं होती।"

ए सिक्योरिटी के अनुसार, इस हमले का परीक्षण विंडोज, मैकओएस, लिनक्स, एंड्रॉइड और आईओएस के लिए ज़ूम के ऐप पर किया गया था। फर्म ने इसे "राष्ट्र-राज्य-स्तरीय" कहा, यह तर्क देते हुए कि ऐसे शोषण को बनाने के लिए कभी विशेषज्ञों, महीनों के काम और एक बड़े बजट की आवश्यकता होती थी।

इन खामियों को CVE-2026-53413, CVE-2026-53414, और CVE-2026-53415 के रूप में ट्रैक किया गया है। CVEs सुरक्षा कमजोरियों के लिए सार्वजनिक पहचानकर्ता हैं।

उन्होंने लिखा, "इस तरह के शोषण हथियार हैं। सरकारें उनके निर्यात को नियंत्रित करती हैं। आपराधिक संगठन उनके लिए लाखों का भुगतान करते हैं।" "एक प्राप्त करने के लिए हमेशा राष्ट्र-राज्य के बुनियादी ढांचे, कुलीन टीमों और महीनों के काम की आवश्यकता होती थी।"

ए सिक्योरिटी ने कहा कि यह शोषण हमलावरों को या तो किसी मीटिंग में शामिल होने या उसे होस्ट करने, किसी भी प्रतिभागी को लक्षित करने और "पीड़ित की ओर से किसी आवश्यक कार्रवाई के बिना और समझौते का संकेत देने वाले किसी दृश्य संकेत के बिना" उनकी मशीन पर कब्जा करने में भी सक्षम बनाता है।

उन्होंने लिखा, "यह दोनों दिशाओं में काम करता था: एक समझौता किया गया प्रस्तुतकर्ता हर प्रतिभागी तक पहुंच सकता था, और कोई भी प्रतिभागी प्रस्तुतकर्ता तक पहुंच सकता था।"

ए सिक्योरिटी ने कहा कि उसने पहली खामी की खोज के दो दिन बाद 10 जून को ज़ूम को इसकी सूचना दी थी। ज़ूम ने 22 जून से 20 जुलाई के बीच फिक्स जारी किए, लेकिन उपयोगकर्ताओं को अभी भी अपडेट करने की आवश्यकता थी क्योंकि इसकी सर्वर-साइड सुरक्षा एंड-टू-एंड एन्क्रिप्टेड मीटिंग्स में दुर्भावनापूर्ण संदेशों को फ़िल्टर नहीं कर सकती थी।

ज़ूम के प्रवक्ता ने Decrypt को बताया, "जैसा कि हमारे ज़ूम सुरक्षा बुलेटिन पेज पर साझा किया गया है, हमने इस समस्या को पहले ही हल कर लिया है।" "हम हमेशा उपयोगकर्ताओं को ज़ूम के नवीनतम संस्करण के साथ अद्यतित रहने की सलाह देते हैं ताकि वे हमारी नवीनतम सुविधाओं और अपडेट का लाभ उठा सकें।"

यह रिपोर्ट ऐसे समय में आई है जब एआई टूल का उपयोग पूरे तकनीकी उद्योग में बग्स का पता लगाने के लिए किया जा रहा है, जिसमें अप्रैल में मोज़िला फ़ायरफ़ॉक्स में 271 कमजोरियां और मई में Zcash नेटवर्क में खामियां शामिल हैं। साथ ही, OpenAI, Anthropic और Meta के एआई मॉडल नियंत्रण से बाहर हो गए हैं और अन्य कंपनियों के सिस्टम को हैक कर चुके हैं।