À medida que os modelos de IA adquirem capacidades avançadas para encontrar vulnerabilidades em software, desenvolver maneiras de explorá-las e até mesmo realizar ataques cibernéticos autônomos, os pesquisadores ofereceram um novo exemplo preocupante na terça-feira, ao divulgar vulnerabilidades na plataforma de videoconferência Zoom que poderiam ter sido exploradas para assumir o controle dos dispositivos das vítimas. Qualquer pessoa em uma chamada que envolvesse compartilhamento de tela, seja participantes ou o anfitrião, estaria vulnerável a um ataque silencioso que poderia ser realizado sem indicação e sem interação da vítima.
Pesquisadores da empresa de defesa digital A Security afirmam que o bug foi descoberto no início de junho usando modelos de IA publicamente disponíveis, e que foram necessários menos de 20 prompts para descobrir as vulnerabilidades e criar um ataque funcional. O Zoom emitiu um aviso de segurança na terça-feira, incluindo detalhes sobre correções que a empresa já começou a implementar para resolver as falhas, que afetaram dispositivos com todos os sistemas operacionais suportados pelo Zoom – Windows, macOS, Linux, iOS e Android.
“O que nos interessa e o que acreditamos ser perigoso é a democratização dessas capacidades – a barreira de entrada está caindo rapidamente”, afirmou o cofundador da A Security, Omer Gull, ao WIRED antes da divulgação. “Antes, teria sido necessário uma equipe de cinco pessoas talvez seis meses com muito refinamento e iteração para encontrar isso. Agora as pessoas podem obter os mesmos resultados com menos de 20 prompts. E o Zoom é um tipo importante de alvo porque as pessoas assumem confiança ao usá-lo. Não o veem como uma ameaça.”
As vulnerabilidades estavam especificamente no protocolo utilizado para facilitar a anotação em tempo real durante o compartilhamento de tela. Os pesquisadores afirmam que seus sistemas de caça a bugs de IA se aprofundaram nesse componente especificamente porque, como os caçadores de bugs humanos, foram treinados que funções complicadas e obscuras frequentemente contêm vulnerabilidades negligenciadas. Isso é particularmente verdadeiro com software proprietário de código fechado. Uma empresa estabelecida como o Zoom presume-se que realize extensas revisões de código e validação em todos os componentes e funções, mas sem o benefício de uma revisão pública e aberta, recursos esotéricos e complexos como a anotação são mais propensos a conter erros.
O Zoom não respondeu a várias solicitações de comentário do WIRED sobre as descobertas da A Security.
Os bugs agora estão corrigidos, com o Zoom emitindo correções tanto do lado do servidor quanto do lado do cliente – ou correções para os servidores próprios do Zoom e os aplicativos que rodam nos dispositivos dos clientes. Mas os pesquisadores enfatizam que foi alarmante pensar em bugs que poderiam ter sido explorados para assumir o controle de um dispositivo alvo simplesmente colocando alguém em uma chamada do Zoom. Participar de uma chamada é em si um gesto de confiança, mas dado o quão onipresente é a videoconferência tanto em contextos pessoais quanto profissionais – e dado que o Zoom em particular também é amplamente utilizado para eventos e atividades semipúblicas como webinários – as pessoas geralmente baixam a guarda ao participar de uma chamada do Zoom.
“Se você apenas entrar em um Zoom conosco, podemos assumir o controle do seu dispositivo”, disse Yossi Torati, cofundador da A Security, ao WIRED em uma chamada. (A propósito, a chamada estava hospedada no Microsoft Teams.) “O pior cenário é que podemos assumir o controle de uma empresa apenas tendo essa vulnerabilidade em nossas mãos. Se eu sou um atacante, posso estar em uma chamada com alguém de uma empresa, assumir o controle de seu computador e suas credenciais, e depois usá-las para se mover lateralmente na empresa.”
Os especialistas frequentemente chamam a segurança de um “jogo de gato e rato”, mas à medida que a caça a bugs de IA se prolifera, essa dança delicada se tornou uma corrida acirrada.
