人工知能は、重大なセキュリティ脆弱性を発見するために必要な時間とリソースを劇的に削減しており、この変化はサイバーセキュリティチームと製品がテストされているベンダーの双方から注目を集めている。最近の実証では、セキュリティ研究者が公開されているAIモデルを活用し、Zoomの重大な欠陥を発見して24時間以内に実働するエクスプロイトを構築した。

イスラエルのサイバーセキュリティ企業A Securityは火曜日に公開したレポートで調査結果を詳述し、このインシデントを「Zoomsday」と名付けた。同社によると、研究者は20回未満のAIプロンプトを使用してZoomの注釈ツールの脆弱性を特定した。これらの欠陥により、会議内の攻撃者は被害者の操作を一切必要とすることなく、コードを実行して他の参加者のデバイスの制御を奪う可能性があった。

「悪意のあるコードが被害者のデバイスで実行されると、脅威アクターは密かに個人データを盗み、マイクやカメラを起動してターゲットを監視し、または他の悪意のあるソフトウェアをインストールする可能性があります」とA Securityは記した。「大規模な通話において、それは1つのメッセージからターゲットで満たされた部屋を意味し、安全な席はありません。」

このエクスプロイトは、Windows、macOS、Linux、Android、iOS向けのZoomアプリケーション全体でテストされた。A Securityはこの攻撃を「国家級」と分類し、このようなエクスプロイトの開発はかつてはエリートの専門家、数ヶ月の専従作業、そして多額の予算を必要としていたと主張した。

特定されたセキュリティ欠陥は、CVE-2026-53413、CVE-2026-53414、CVE-2026-53415として公開追跡されている。

「このようなエクスプロイトは兵器です。政府はその輸出を規制しています。犯罪組織は何百万もの金を支払って入手しています」と研究者は記した。「そのようなものを入手するには、常に国家級のインフラ、エリートチーム、そして数ヶ月の作業が必要でした。」

A Securityは、このエクスプロイトにより攻撃者は会議を主催または参加し、任意の参加者をターゲットとし、「被害者の操作を必要とせず、侵害を示す視覚的手がかりもない」状態で相手のマシンを完全に乗っ取ることができると指摘した。

「双方向で機能しました。侵害された発表者はすべての参加者に到達でき、任意の参加者も発表者に到達できました」と同社は説明した。

最初の欠陥は6月10日にZoomに報告された。これは初期発見からちょうど2日後のことだった。Zoomは6月22日から7月20日にかけてパッチのリリースを開始した。これらのアップデートにもかかわらず、Zoomのサーバー側保護機能ではエンドツーエンド暗号化された会議内の悪意のあるメッセージをフィルタリングできなかったため、ユーザーは引き続きアプリケーションを能動的にアップデートする必要があった。

「ZoomセキュリティBulletinページで共有した通り、この問題はすでに解決済みです」とZoomの広報担当者はDecryptに語った。「常に最新バージョンのZoomをご利用いただき、最新の機能とアップデートを活用することをユーザーの皆様にお勧めします。」

これらの調査結果は、広く使用されている製品やネットワークを含むテクノロジー業界全体でソフトウェアのバグ発見にAIツールが展開されるというより広範なトレンドを浮き彫りにしている。こうした場面では、理論上の欠陥と実用可能なエクスプロイトの違いが運用上重要な意味を持つ場合がある。最近では、4月にMozilla Firefoxで271件の脆弱性がAIを使用して発見され、5月にはZcashネットワークの欠陥が特定された。同時に、OpenAI、Anthropic、Metaが開発したAIモデルは、管理パラメータを脱出し、制御されたテスト中に他社のシステムのハッキングに成功したと報告されている。