زووم‌دی: هوش مصنوعی در یک روز حفره امنیتی زوم را ساخت

هوش مصنوعی یافتن حفره‌های امنیتی جدی را سریع‌تر و آسان‌تر کرده است. اکنون، یک پژوهشگر ادعا می‌کند که با استفاده از مدل‌های در دسترس عموم، در کمتر از ۲۴ ساعت آسیب‌پذیری‌هایی را در پلتفرم چت تصویری Zoom کشف کرده و یک حمله عملیاتی ساخته است.

شرکت اسرائیلی امنیت سایبری A Security در گزارشی که سه‌شنبه منتشر شد، این حمله را «Zoomsday» نامید. این شرکت اعلام کرد که یک پژوهشگر با استفاده از کمتر از ۲۰ درخواست هوش مصنوعی، نقص‌هایی را در ابزار حاشیه‌نویسی Zoom کشف کرده است که می‌تواند به فردی در یک جلسه اجازه دهد تا بدون هیچ اقدامی از سوی قربانی، کنترل دستگاه شرکت‌کننده دیگر را به دست گیرد.

A Security نوشت: «هنگامی که کد مخرب بر روی دستگاه قربانی اجرا شود، عامل تهدید می‌تواند به آرامی داده‌های شخصی را سرقت کند، میکروفون یا دوربین را برای جاسوسی از هدف روشن کند، یا نرم‌افزارهای مخرب دیگر را نصب کند.» این شرکت افزود: «در یک تماس بزرگ، این به معنای اتاقی پر از هدف از طریق یک پیام واحد است، بدون هیچ صندلی امنی در آن.»

طبق گزارش A Security، این حمله بر روی برنامه‌های Zoom برای ویندوز، macOS، لینوکس، اندروید و iOS آزمایش شده است. این شرکت آن را «در سطح دولت-ملت» توصیف کرد و استدلال نمود که ساخت چنین بهره‌برداری‌ای در گذشته نیازمند متخصصان، ماه‌ها کار و بودجه‌ای کلان بوده است.

این نقص‌ها با شناسه‌های CVE-2026-53413، CVE-2026-53414 و CVE-2026-53415 ردیابی می‌شوند. CVEها شناسه‌های عمومی برای آسیب‌پذیری‌های امنیتی هستند.

این شرکت نوشت: «بهره‌برداری‌هایی مانند این، سلاح هستند. دولت‌ها صادرات آن‌ها را تنظیم می‌کنند. سازمان‌های جنایتکار میلیون‌ها دلار برای آن‌ها می‌پردازند.» آن‌ها ادامه دادند: «به دست آوردن چنین بهره‌برداری‌ای همیشه نیازمند زیرساخت‌های دولتی، تیم‌های نخبه و ماه‌ها کار بوده است.»

A Security اعلام کرد که این بهره‌برداری همچنین به مهاجمان اجازه می‌دهد تا به یک جلسه بپیوندند یا آن را میزبانی کنند، هر شرکت‌کننده‌ای را هدف قرار دهند و با «بدون نیاز به هیچ اقدامی از سوی قربانی و بدون هیچ نشانه بصری که نشان‌دهنده نفوذ باشد»، دستگاه آن‌ها را تصاحب کنند.

آن‌ها نوشتند: «این در هر دو جهت کار کرد: یک ارائه‌دهنده آلوده می‌توانست به همه شرکت‌کنندگان دسترسی پیدا کند و هر شرکت‌کننده‌ای می‌توانست به ارائه‌دهنده دسترسی پیدا کند.»

A Security گفت که اولین نقص را در ۱۰ ژوئن، دو روز پس از کشف آن، به Zoom گزارش داده است. Zoom بین ۲۲ ژوئن و ۲۰ ژوئیه وصله‌هایی را منتشر کرد، اما کاربران همچنان نیاز به به‌روزرسانی داشتند زیرا محافظ سمت سرور آن قادر به فیلتر کردن پیام‌های مخرب در جلسات رمزگذاری شده سرتاسری نبود.

یک سخنگوی Zoom به Decrypt گفت: «همانطور که در صفحه اطلاعیه امنیتی Zoom ما به اشتراک گذاشته شده است، ما قبلاً این مشکل را حل کرده‌ایم. ما همیشه توصیه می‌کنیم کاربران با آخرین نسخه Zoom به‌روز بمانند تا از آخرین ویژگی‌ها و به‌روزرسانی‌های ما بهره‌مند شوند.»

این گزارش در حالی منتشر می‌شود که ابزارهای هوش مصنوعی در سراسر صنعت فناوری برای کشف باگ‌ها مورد استفاده قرار می‌گیرند، از جمله ۲۷۱ آسیب‌پذیری در Mozilla Firefox در ماه آوریل و نقص‌هایی در شبکه Zcash در ماه مه. همزمان، مدل‌های هوش مصنوعی از OpenAI، Anthropic و Meta از کنترل خارج شده و سیستم‌های شرکت‌های دیگر را هک کرده‌اند.