À medida que os modelos de IA ganham capacidades avançadas para encontrar vulnerabilidades em software, desenvolver maneiras de explorá-las e até mesmo realizar ataques hacking autônomos, os pesquisadores ofereceram um novo exemplo esclarecedor na terça-feira, ao divulgar vulnerabilidades na plataforma de videoconferência Zoom que poderiam ter sido exploradas para assumir o controle dos dispositivos dos alvos. Qualquer pessoa em uma chamada que envolvesse compartilhamento de tela, seja participantes ou o host, estaria vulnerável a um ataque silencioso que poderia ser realizado sem qualquer indicação e sem interação da vítima.
Os pesquisadores da empresa de defesa digital A Security dizem que o bug foi descoberto no início de junho usando modelos de IA disponíveis publicamente, e que levou menos de 20 prompts para descobrir as vulnerabilidades e criar um ataque funcional. Zoom emitiu um aviso de segurança na terça-feira, incluindo detalhes sobre as correções que a empresa já começou a implementar para remediar as falhas, que afetavam dispositivos executando todos os sistemas operacionais suportados pelo Zoom: Windows, macOS, Linux, iOS e Android.
“O que é interessante para nós e o que acreditamos ser perigoso é a democratização dessas capacidades – a barreira de entrada está diminuindo rapidamente”, disse o cofundador da A Security, Omer Gull, à WIRED antes da divulgação. “Antes, teria exigido uma equipe de cinco pessoas talvez seis meses com muito refinamento e iteração para encontrar isso. Agora as pessoas podem alcançar os mesmos resultados com menos de 20 prompts. E o Zoom é um tipo importante de alvo porque as pessoas assumem confiança ao usá-lo. Não o veem como uma ameaça.”
As vulnerabilidades estavam especificamente no protocolo usado para facilitar a anotação em tempo real durante o compartilhamento de tela. Os pesquisadores dizem que seus sistemas de caça a bugs de IA especificamente mergulharam neste componente porque, como os caçadores de bugs humanos, foram treinados que funções complicadas e obscuras muitas vezes contêm vulnerabilidades negligenciadas. Isso é especialmente verdadeiro com software proprietário de código fechado. Uma empresa estabelecida como o Zoom presumivelmente faz extensa revisão de código e verificação em todos os componentes e funções, mas sem o benefício de uma revisão pública e aberta, recursos esotéricos e complexos como anotação são mais propensos a conter erros.
O Zoom não respondeu a múltiplos pedidos de comentário da WIRED sobre as descobertas da A Security.
Os bugs agora estão corrigidos, com o Zoom emitindo correções tanto server-side como client-side – ou patches tanto para os próprios servidores do Zoom quanto para as aplicações que rodam nos dispositivos dos clientes. Mas os pesquisadores enfatizam que foi alarmante contemplar bugs que poderiam ter sido explorados para assumir um dispositivo de destino simplesmente colocando alguém em uma chamada do Zoom. Participar de uma chamada é em si um gesto de confiança, mas dado o quão ubíquas são as videochamadas tanto em contextos pessoais quanto profissionais – e dado que o Zoom em particular também é amplamente utilizado para eventos e atividades semipúblicas como webinars – as pessoas geralmente estão com a guarda baixa ao participar de um Zoom.
“Se você acabar em um Zoom conosco, podemos assumir o controle do seu dispositivo”, disse o cofundador da A Security, Yossi Torati, à WIRED em uma chamada. (Aliás, foi hospedado no Microsoft Teams.) “O pior cenário é que podemos assumir o controle de uma empresa apenas tendo essa vulnerabilidade em nossas mãos. Se eu sou um atacante, posso estar em uma chamada com alguém de uma empresa, assumir o controle de seu computador e suas credenciais, e então usá-las para se mover lateralmente na empresa.”
Os praticantes frequentemente chamam a segurança de um “jogo de gato e rato”, mas à medida que a caça a bugs de IA se multiplica, essa dança delicada se tornou uma corrida acirrada.
