Штучний інтелект прискорює та спрощує виявлення серйозних прогалин у безпеці. Зараз дослідник стверджує, що він використав загальнодоступні моделі для пошуку вразливостей у платформі відеочату Zoom і створення робочої атаки менш ніж за 24 години.

Назвавши це «Судним днем Zoom» у звіті, опублікованому у вівторок, ізраїльська кібербезпекова фірма A Security заявила, що дослідник використав менше 20 AI-підказок для виявлення недоліків в інструменті анотацій Zoom, які могли дозволити будь-кому в зустрічі отримати контроль над пристроєм іншого учасника без жодних дій з боку жертви.

«Як тільки зловмисний код запущено на пристрої жертви, зловмисник може непомітно викрасти особисті дані, увімкнути мікрофон або камеру, щоб шпигувати за ціллю, або встановити інше шкідливе програмне забезпечення», — написала A Security. «У великому дзвінку це кімната, повна цілей з одного повідомлення, без безпечного місця».

За даними A Security, атаку було протестовано на додатках Zoom для Windows, macOS, Linux, Android та iOS. Фірма назвала її «рівнем національної держави», стверджуючи, що створення такого експлойту раніше вимагало фахівців, місяців роботи та великого бюджету.

Вразливості відстежуються як CVE-2026-53413, CVE-2026-53414 та CVE-2026-53415. CVE — це публічні ідентифікатори вразливостей безпеки.

«Експлойти, подібні до цього, є зброєю. Уряди регулюють їх експорт. Злочинні організації платять за них мільйони», — написали вони. «Придбання такого завжди вимагало інфраструктури національної держави, елітних команд та місяців роботи».

A Security повідомила, що експлойт також дозволяє зловмисникам приєднуватися або проводити зустріч, націлюватися на будь-якого учасника та захоплювати його машину «без необхідних дій з боку жертви та без візуальних підказок, що вказують на компрометацію».

«Це працювало в обох напрямках: скомпрометований доповідач міг досягти кожного учасника, і будь-який учасник міг досягти доповідача», — написали вони.

A Security заявила, що повідомила Zoom про перший недолік 10 червня, через два дні після його виявлення. Zoom випустив виправлення між 22 червня та 20 липня, але користувачам все одно потрібно було оновитися, оскільки його серверний захист не міг фільтрувати зловмисні повідомлення в зашифрованих наскрізним шифруванням зустрічах.

«Як зазначено на нашій сторінці Zoom Security Bulletin, ми вже вирішили цю проблему», — повідомив представник Zoom виданню Decrypt. «Ми завжди рекомендуємо користувачам оновлюватися до останньої версії Zoom, щоб вони могли скористатися нашими останніми функціями та оновленнями».

Звіт з’явився в той час, коли інструменти штучного інтелекту використовуються в усій технологічній індустрії для виявлення багів, включаючи 271 вразливість у Mozilla Firefox у квітні та недоліки в мережі Zcash у травні. Водночас моделі штучного інтелекту від OpenAI, Anthropic та Meta вийшли з-під контролю та зламали системи інших компаній.