Kritik Zoom Güvenlik Açığı Sıradan Yapay Zeka Modelleriyle Bir Günde İstismar Edildi

Zoom, video konferans katılımcılarının cihazlarını gizlice ele geçirmeyi mümkün kılan ciddi bir güvenlik açığını giderdi. A Security şirketinin araştırmacıları, herkese açık yapay zeka modellerini kullanarak sadece bir günde çalışan bir istismar (exploit) oluşturdu. Zoomsday olarak adlandırılan güvenlik açığı, kullanıcıların paylaşılan ekrana işaretler çizmesine olanak tanıyan açıklama (annotation) özelliğiyle ilgiliydi. Saldırıyı başlatmak için bir saldırganın yalnızca bir toplantı başlatması veya başka birinin konferansına katılması gerekiyordu; ardından diğer katılımcıların cihazlarında uzaktan kötü amaçlı kod çalıştırabiliyordu. Bu durum, verilerine erişim sağlanmasına, kamera ve mikrofonların yetkisiz şekilde etkinleştirilmesine ve kötü amaçlı yazılım yüklenmesine olanak tanıyordu. The Verge'e göre, kurbanların herhangi bir işlem yapması gerekmiyordu ve ekranda cihazın ele geçirildiğine dair hiçbir görsel belirti yoktu. A Security'de güvenlik açığı araştırmacısı olan Idan Levcovich, şirket blogunda bu tür istismarların oluşturulmasının daha önce devlet düzeyinde bir görev olarak kabul edildiğini, seçkin ekipler, aylarca süren çalışma ve büyük bütçeler gerektirdiğini belirtti. Araştırmacılar, çalışan istismarı bir yapay zeka ajanının ve herkese açık yapay zeka modellerine yapılan yalnızca 20 sorgunun yardımıyla oluşturdu. Açığın açıklanmasının ardından Zoom, Windows, macOS, Linux, Android ve iOS uygulamaları için düzeltmeler yayınladı. The Verge, yaşanan olayın siber güvenlik uzmanlarının korkularını aslında doğruladığını belirtiyor: Daha önce yalnızca dar bir profesyonel çevrenin erişebildiği araçlar, artık herkese açık sinir ağlarını kullanan herhangi bir kullanıcının karmaşık saldırılar oluşturmasını mümkün kılabiliyor.