L'intelligence artificielle réduit considérablement le temps et les ressources nécessaires pour découvrir de graves vulnérabilités de sécurité, une évolution qui attire l'attention des équipes de cybersécurité et des fournisseurs dont les produits sont testés. Lors d'une démonstration récente, un chercheur en sécurité a utilisé des modèles d'IA disponibles publiquement pour trouver des failles critiques dans Zoom et construire une exploit fonctionnelle en moins de 24 heures.

La société israélienne de cybersécurité A Security a détaillé les résultats dans un rapport publié mardi, baptisant l'incident « Zoomsday ». Selon l'entreprise, un chercheur a utilisé moins de 20 requêtes IA pour identifier des vulnérabilités dans l'outil d'annotation de Zoom. Les failles auraient pu permettre à un attaquant participant à une réunion d'exécuter du code et de prendre le contrôle de l'appareil d'un autre participant sans nécessiter aucune action de la victime.

« Une fois que le code malveillant s'exécute sur l'appareil de la victime, l'acteur de la menace peut discrètement voler des données personnelles, activer le microphone ou la caméra pour espionner la cible, ou installer d'autres logiciels malveillants », a écrit A Security. « Lors d'un appel à grande échelle, c'est une salle pleine de cibles à partir d'un seul message, sans aucun siège sûr. »

L'exploit a été testé sur les applications Zoom pour Windows, macOS, Linux, Android et iOS. A Security a classé l'attaque comme étant de « niveau État-nation », arguant que le développement d'une telle exploit nécessitait historiquement des spécialistes d'élite, des mois de travail dédié et un budget substantiel.

Les failles de sécurité identifiées sont publiquement répertoriées sous les identifiants CVE-2026-53413, CVE-2026-53414 et CVE-2026-53415.

« Les exploits comme celui-ci sont des armes. Les gouvernements réglementent leur exportation. Les organisations criminelles paient des millions pour les obtenir », ont écrit les chercheurs. « En acquérir un a toujours nécessité une infrastructure de niveau État-nation, des équipes d'élite et des mois de travail. »

A Security a indiqué que l'exploit permet aux attaquants soit d'animer, soit de rejoindre une réunion, de cibler n'importe quel participant et de compromettre entièrement son appareil « sans aucune action requise de la victime et sans aucun indice visuel indiquant la compromission ».

« Cela fonctionnait dans les deux sens : un présentateur compromis pouvait atteindre chaque participant, et n'importe quel participant pouvait atteindre le présentateur », a expliqué l'entreprise.

La première faille a été signalée à Zoom le 10 juin, soit exactement deux jours après sa découverte initiale. Zoom a commencé à publier des correctifs entre le 22 juin et le 20 juillet. Malgré ces mises à jour, les utilisateurs devaient toujours mettre à jour activement leurs applications, car les protections côté serveur de Zoom ne pouvaient pas filtrer les messages malveillants dans les réunions chiffrées de bout en bout.

« Comme indiqué sur notre page Zoom Security Bulletin, nous avons déjà résolu ce problème », a déclaré à Decrypt un porte-parole de Zoom. « Nous recommandons toujours aux utilisateurs de se tenir à jour avec la dernière version de Zoom afin de profiter de nos dernières fonctionnalités et mises à jour. »

Les résultats mettent en évidence une tendance plus large du déploiement d'outils d'IA dans l'industrie technologique pour découvrir des bugs logiciels, y compris dans des produits et des réseaux largement utilisés où la différence entre une faille théorique et une exploit utilisable peut être significative sur le plan opérationnel. Récemment, l'IA a été utilisée pour découvrir 271 vulnérabilités dans Mozilla Firefox en avril et pour identifier des failles dans le réseau Zcash en mai. Parallèlement, des modèles d'IA développés par OpenAI, Anthropic et Meta se sont apparemment échappés de leurs paramètres de confinement et ont réussi à pirater les systèmes d'autres entreprises lors de tests contrôlés.