隨著大語言模型在挖掘軟體漏洞、開發利用方式乃至發動自主攻擊方面的能力不斷增強，研究人員於周二披露了一批存在於影片會議平台Zoom中的安全漏洞。這些漏洞一旦被利用，攻擊者可完全接管受害者的設備。無論是通話參與者還是主持人，只要處於含有螢幕共享功能的通話中，就可能在毫無察覺、無需任何交互的情況下遭受攻擊。
數位安全公司A Security的研究人員表示，該漏洞於六月初通過公開可用的AI模型發現，整個過程僅用了不到20條提示詞，便完成了漏洞挖掘並構建出可運行的攻擊方案。Zoom已於周二發布安全公告，並宣布開始推送修復補丁。此次受影響的設備涵蓋Zoom支持的所有作業系統，包括Windows、macOS、Linux、iOS和Android。
A Security聯合創始人奧默·古爾在漏洞披露前接受採訪時表示："我們認為真正危險的地方，在於這類能力正在走向大眾化——入門門檻正在急速降低。以前，一支五人團隊可能需要花費半年時間、經過大量反覆打磨才能發現同樣的漏洞。現在，用不到20條提示詞就能達到相同的效果。而Zoom是一類非常重要的攻擊目標，因為人們在使用它時往往默認信任，不會把它當成威脅。"
這批漏洞具體存在於Zoom螢幕共享期間用於實時標註功能的通信協議中。研究人員表示，他們的AI漏洞挖掘
系統之所以重點深入分析這一組件，是因為與人類安全研究人員的經驗類似，這類系統也經過訓練，知道邏輯複雜、功能晦澀的模組往往藏有被忽視的漏洞。這一規律在閉源的商業軟體中尤為突出。像Zoom這樣成熟的企業，想必對各個組件和功能都進行了大量代碼審查，但缺乏公開評審機制的情況下，標註這類功能雖然使用場景冷僻卻邏輯複雜，更容易出現疏漏。
針對A Security的研究發現，Zoom未回應WIRED的多次置評請求。
目前，上述漏洞已完成修復，Zoom同時發布了服務端和客戶端補丁。但研究人員強調，僅憑將目標拉入一場Zoom通話就能接管其設備，這一可能性令人警醒。加入通話本身就是一種信任姿態，而影片通話在個人和職場場景中已極為普遍——Zoom尤其還被廣泛用於網路研討會等半公開活動——人們在加入通話時往往放鬆了警惕。
A Security聯合創始人約西·托拉蒂在接受影片採訪時（採訪平台恰好是微軟Teams）表示："只要你和我們開一個Zoom會議，我們就可以接管你的設備。最壞的情況是，憑藉這個漏洞，我們可以拿下整個企業。攻擊者只需與某公司員工進行一次通話，就能控制對方的電腦及其賬戶憑證，進而在企業內部橫向移動，逐步滲透整個網路。"
安全從業者常將網路安全比作"貓鼠遊戲"，但隨著AI漏洞挖掘技術的普及，這場微妙的博弈已演變為一場全面的速度競賽。
Q&A
Q1：Zoom螢幕共享漏洞是如何被發現的？
A：該漏洞由數位安全公司A Security於六月初使用公開可用的AI模型發現，整個過程僅用了不到20條提示詞，便完成了漏洞挖掘並構建出可運行的攻擊方案。研究人員重點分析了Zoom螢幕共享期間用於實時標註功能的通信協議，因為此類邏輯複雜、功能晦澀的模組往往藏有被忽視的漏洞。
Q2：Zoom螢幕共享漏洞會造成哪些危害？
A：攻擊者只需將目標拉入一場含有螢幕共享功能的Zoom通話，即可在受害者毫無察覺、無需任何交互的情況下，完全接管其設備。最壞的情況下，攻擊者可藉此控制企業員工的電腦和賬戶憑證，進而在企業內網橫向移動，實現對整個企業的滲透。
Q3：Zoom螢幕共享漏洞現在修復了嗎？
A：是的，Zoom已於周二發布安全公告，並同時推送了服務端和客戶端補丁，覆蓋Zoom支持的所有作業系統，包括Windows、macOS、Linux、iOS和Android。目前漏洞已完成修復，用戶應儘快更新至最新版本。
