重大なZoom脆弱性が一般のAIモデルを使い1日で悪用される

Zoomは、ビデオ会議の参加者のデバイスを密かに乗っ取ることを可能にする深刻な脆弱性を修正しました。セキュリティ企業A Securityの研究者たちは、公開されているAIモデルを使用して、わずか1日で実用的なエクスプロイトを作成しました。Zoomsdayと名付けられたこの脆弱性は、ユーザーが共有画面にマークを描くことを可能にする注釈機能に関連していました。攻撃を仕掛けるには、攻撃者がミーティングを開始するか、他の誰かの会議に参加するだけでよく、その後、他の参加者のデバイス上でリモートから悪意のあるコードを実行できました。これにより、データへのアクセス、カメラやマイクの不正な起動、マルウェアのインストールが可能になりました（The Vergeによる）。被害者は何も操作する必要がなく、画面上にデバイスが侵害されたという視覚的な兆候もありませんでした。A Securityの脆弱性研究者であるIdan Levcovich氏は、会社のブログで、このようなエクスプロイトの作成はこれまで国家レベルの任務であり、エリートチーム、数ヶ月の作業、大規模な予算が必要と考えられていたと指摘しました。研究者たちは、AIエージェントと公開AIモデルへのわずか20回のクエリを使用して、実用的なエクスプロイトを作成しました。開示後、ZoomはWindows、macOS、Linux、Android、iOS向けのアプリケーションの修正をリリースしました。The Vergeは、この事件が実際にサイバーセキュリティ専門家の懸念を裏付けたと指摘しています。以前は専門家の狭い範囲だけが利用できたツールが、現在では公開ニューラルネットワークの任意のユーザーが高度な攻撃を作成するために使用できるということです。