Zoomsday: AI skróciła przygotowanie cyberataku na Zoom z miesięcy do jednej doby

Jeden badacz, laptop i publicznie dostępny model językowy. To wystarczyło, by w mniej niż 24 godziny rzucić na kolana zabezpieczenia najpopularniejszej platformy do wideokonferencji. Izraelska firma A Security udowodniła, że bariera wejścia do świata zaawansowanego cyberszpiegostwa właśnie przestała istnieć.

Dlaczego to ważne teraz?

Precedensowy atak nazwany „Zoomsday” pokazuje, że automatyzacja wyszukiwania luk w kodzie weszła w fazę krytycznej. Zamiast zespołów ekspertów pracujących miesiącami, otrzymaliśmy wynik osiągnięty w niecałą dobę przy użyciu mniej niż 20 promptów wydanych przez sztuczną inteligencję. Dla branży bezpieczeństwa to sygnał, że czas, jaki firmy mają na reakcję i łatanie błędów, drastycznie się skurczył. Jeśli haker może wygenerować broń w jedną noc, tradycyjne cykle wydawnicze poprawek przestają wystarczać.

Demokratyzacja cyberbroni

Eksperci z A Security zaprezentowali dowód na to, jak AI radykalnie obniża próg wejścia w świat cyfrowego sabotażu. Badacz, operując precyzyjnymi poleceniami, zidentyfikował i wykorzystał błędy w narzędziu do adnotacji platformy Zoom. Jak podkreśla firma w swoim raporcie, „cała operacja została przeprowadzona przy użyciu mniej niż 20 promptów w czasie krótszym niż 24 godziny”.

Skala problemu przeraża. Wypracowany exploit to tzw. zero-click RCE (zdalne wykonanie kodu bez interakcji użytkownika). W praktyce oznacza to, że samo uczestnictwo w spotkaniu – nawet bez klikania w jakiekolwiek linki – wystarczało, by napastnik przejął mikrofon, kamerę lub wykradł dane. Atak dotyczył wersji 7.0.5 i działał na systemach Windows, macOS, Linux oraz platformach mobilnych. Dotychczas takie narzędzia były domeną grup typu APT wspieranych przez rządy, dysponujących milionowymi budżetami.

Koniec ery bezpieczeństwa przez skomplikowanie

Trzy zidentyfikowane luki (CVE-2026-53413, CVE-2026-53414 oraz CVE-2026-53415) udowadniają, że AI nie tylko znajduje błędy, ale błyskawicznie składa je w skomplikowane łańcuchy ataku. W przypadku Zoomsday, napastnik mógł zainfekować wszystkich uczestników wideokonferencji za pomocą jednej, spreparowanej wiadomości wysłanej w trakcie połączenia.

Co ironiczne, mechanizmy takie jak szyfrowanie end-to-end stały się tu problemem dla samego producenta. Zoom nie mógł filtrować treści wiadomości przesyłanych wewnątrz zaszyfrowanych kanałów na poziomie serwera, więc jedyną obroną była aktualizacja aplikacji po stronie użytkownika. Choć pierwsze zgłoszenie wpłynęło 9 czerwca 2026, a poprawki wdrażano etapami do lipca, incydent pozostaje ostrzeżeniem. W świecie, gdzie AI pisze kod ataku w kilka godzin, opieszałość w aktualizacji oprogramowania staje się zaproszeniem dla intruza.