Pesquisadores da A Security revelaram vulnerabilidades na plataforma de videoconferência Zoom que poderiam ter sido exploradas para assumir o controle dos dispositivos dos usuários — em um ataque denominado “Zoomsday”.

Qualquer pessoa em uma chamada que envolvesse compartilhamento de tela — fosse participante ou anfitrião — estaria vulnerável a um ataque executável sem qualquer indicação ou interação por parte da vítima.

Os especialistas afirmam que a falha foi descoberta no início de junho, utilizando modelos de IA disponíveis publicamente, e que foram necessários menos de 20 comandos para identificar as vulnerabilidades e criar um ataque funcional.

O que nos interessa — e o que consideramos perigoso — é a democratização dessas capacidades; a barreira de entrada está caindo rapidamente. Antigamente, seria necessária uma equipe de cinco pessoas trabalhando talvez seis meses, com muitos ajustes e iterações, para descobrir isso. Agora, é possível obter os mesmos resultados com menos de 20 comandos. Além disso, o Zoom é um alvo importante porque as pessoas confiam na plataforma ao utilizá-la; elas não a veem como uma ameaça.

—Omer Gull, cofundador da A Security.

Ainda segundo os pesquisadores, as vulnerabilidades estavam localizadas especificamente no protocolo usado para permitir anotações em tempo real durante o compartilhamento de tela.

De acordo com informações do WIRED, o Zoom emitiu um comunicado de segurança nesta semana detalhando as correções das brechas, as quais afetavam dispositivos com todos os sistemas operacionais suportados pela plataforma — Windows, macOS, Linux, iOS e Android.

Muito tem se falado, nos últimos tempos, sobre a enxurrada de apps feitos com ferramentas de vibe coding que tem chegado à App Store. Essa, no entanto, está longe de ser a única frente na qual a Apple tem sofrido para lidar com “AI slop”, como conteúdos de baixa qualidade feitos com ferramentas de inteligência artificial (IA) têm sido popularmente chamados.

De acordo com uma reportagem do Financial Times, a gigante de Cupertino disse que precisou limitar, ainda em junho, o número de relatórios de bugs enviados por caçadores de vulnerabilidades amadores para a empresa, já que muitos têm utilizado LLMs ¹Large language models, ou grandes modelos de linguagem. para identificar supostas brechas em seus softwares.

Embora sejam, sim, capazes de identificar bugs em códigos, ferramentas de IA possuem a tendência de alucinar e apontar vulnerabilidades que, na verdade, não são reais. Isso, como era de esperar, dificulta o trabalho dos engenheiros da Apple, que, embora também estejam explorando ferramentas de IA, precisam revisar as denúncias manualmente.

Segundo as informações, além de poderem relatar apenas um número limitado de bugs por vez, os caçadores ainda precisam esperar 30 dias para enviar novos relatórios. Pessoas/empresas que quiserem aumentar o seu limite precisam enviar um pedido para a Apple, que pode ou não ser atendido.

Esse fenômeno, vale notar, também está atrapalhando o trabalho de firmas de cibersegurança, as quais não estão conseguindo comunicar à Apple falhas graves em seus sistemas devido a esse limite. Entre elas, está a startup italiana Bynario, que disse ao FT ter usado o ChatGPT para identificar mais de 50 bugs no macOS, incluindo um que poderia permitir que um invasor assumisse o controle total do Mac, obtendo acesso irrestrito ao sistema.

Questionada pelo veículo, a Apple disse que já entrou em contato com a Bynario. “Com o crescente volume de relatórios de segurança gerados por IA em todo o setor, ajustamos recentemente o número de novos relatórios que um pesquisador pode ter abertos simultaneamente”, disse a empresa em um comunicado.

A Maçã, vale lembrar, mantém o programa Apple Security Bounty, que oferece recompensas em dinheiro para pessoas/empresas que conseguirem encontrar brechas de segurança em seus sistemas.

Notas de rodapé

• 1
  Large language models, ou grandes modelos de linguagem.