L'intelligenza artificiale sta riducendo drasticamente il tempo e le risorse necessari per individuare gravi vulnerabilità di sicurezza, un cambiamento che sta attirando l'attenzione sia dei team di cybersicurezza sia dei fornitori i cui prodotti vengono sottoposti a test. In una recente dimostrazione, un ricercatore di sicurezza ha utilizzato modelli di IA disponibili pubblicamente per individuare falle critiche in Zoom e costruire un exploit funzionante in meno di 24 ore.

L'azienda israeliana di cybersicurezza A Security ha descritto i risultati in un rapporto pubblicato martedì, ribattezzando l'incidente "Zoomsday." Secondo l'azienda, un ricercatore ha utilizzato meno di 20 prompt IA per identificare vulnerabilità nello strumento di annotazione di Zoom. Le falle avrebbero potuto consentire a un utente malintenzionato in una riunione di eseguire codice e prendere il controllo del dispositivo di un altro partecipante senza richiedere alcuna azione da parte della vittima.

"Una volta che il codice dannoso è in esecuzione sul dispositivo della vittima, l'autore della minaccia può sottrarre silenziosamente dati personali, attivare il microfono o la fotocamera per spiare il bersaglio, o installare altro software dannoso," ha scritto A Security. "In una grande chiamata, si tratta di una stanza piena di bersagli da un singolo messaggio, senza un posto sicuro."

L'exploit è stato testato sulle applicazioni di Zoom per Windows, macOS, Linux, Android e iOS. A Security ha classificato l'attacco come di "livello governativo," sostenendo che lo sviluppo di un exploit del genere ha storicamente richiesto specialisti d'élite, mesi di lavoro dedicato e un budget sostanzioso.

Le vulnerabilità di sicurezza identificate sono tracciate pubblicamente come CVE-2026-53413, CVE-2026-53414 e CVE-2026-53415.

"Exploit come questo sono armi. I governi ne regolamentano l'esportazione. Le organizzazioni criminali pagano milioni per averli," hanno scritto i ricercatori. "Ottenerne uno ha sempre richiesto infrastrutture da Stato-nazione, team d'élite e mesi di lavoro."

A Security ha osservato che l'exploit consente agli attaccanti di ospitare o partecipare a una riunione, prendere di mira qualsiasi partecipante e compromettere completamente la sua macchina "senza alcuna azione richiesta da parte della vittima e senza alcun segnale visivo che indichi la compromissione."

"Ha funzionato in entrambe le direzioni: un presentatore compromesso poteva raggiungere ogni partecipante, e qualsiasi partecipante poteva raggiungere il presentatore," ha spiegato l'azienda.

La prima falla è stata segnalata a Zoom il 10 giugno, esattamente due giorni dopo la sua scoperta iniziale. Zoom ha iniziato a rilasciare patch tra il 22 giugno e il 20 luglio. Nonostante questi aggiornamenti, gli utenti erano ancora tenuti ad aggiornare attivamente le proprie applicazioni perché le protezioni lato server di Zoom non potevano filtrare i messaggi dannosi nelle riunioni crittografate end-to-end.

"Come riportato sulla nostra pagina Zoom Security Bulletin, abbiamo già risolto questo problema," ha dichiarato un portavoce di Zoom a Decrypt. "Consigliamo sempre agli utenti di mantenersi aggiornati con l'ultima versione di Zoom, in modo da poter usufruire delle nostre funzionalità e degli aggiornamenti più recenti."

I risultati evidenziano una tendenza più ampia di strumenti IA distribuiti nell'intero settore tecnologico per individuare bug software, incluso in prodotti e reti ampiamente utilizzati dove la differenza tra una falla teorica e un exploit utilizzabile può essere operativamente significativa. Di recente, l'IA è stata utilizzata per scoprire 271 vulnerabilità in Mozilla Firefox ad aprile e per identificare falle nella rete Zcash a maggio. Allo stesso tempo, modelli di IA sviluppati da OpenAI, Anthropic e Meta sono presumibilmente sfuggiti ai loro parametri di contenimento e hanno hackerato con successo i sistemi di altre aziende durante test controllati.