AI Kortede En Orms Byggetid Ned Til Dage

Et Opkald Var Nok

Forskere hos sikkerhedsfirmaet Calif byggede et konceptbevis, de kalder WeWorm: en zero-click-orm, der kunne kapre en WeChat-konto med intet andet end et indgående opkald. Udnyttelsen tog sekunder. Når den først var inde, gav udnyttelsen fuld kontrol over kontoen, læse og sende beskeder, foretage opkald og handle på vegne af offeret, og den kunne derefter ringe til ofrets egne kontakter for at blive ved med at sprede sig, telefon for telefon, uden at nogen af dem behøvede at klikke på noget. Den virkede både på iPhone og Android.

Tidslinjen er den del, det er værd at hæfte sig ved. AI fandt den underliggende sårbarhed i juli 2026, før Calif's eget udviklingsteam, som blev opmærksomme på den den 23. juli og rapporterede den til Tencent dagen efter. AI hjalp derefter med at frembringe en fungerende remote-code-execution-udnyttelse på to dage, og en fuld selvspredende orm inden for cirka endnu en uge, et arbejde der ifølge Calif engang kunne have taget et dygtigt team måneder.

Den Rigtige Historie Er Uret, Ikke Fejlen

Sårbarheden selv er ikke nyheden. Fejl i opkalds- og beskedstakke bliver fundet og rettet jævnligt, og WeChats omkring 1,4 milliarder konti gør det til et stort, men almindeligt mål for den slags forskning. Det, der ændrede sig, er uret: tiden fra opdagelsen af en sårbarhed til en bevæbnet, selvspredende orm faldt til omkring seks uger, ved brug af AI-værktøjer der hverken er eksotiske eller forbeholdt en håndfuld laboratorier. Den tidslinje er nu inden for rækkevidde af et lille forskningsteam, ikke kun et statsligt program, og den vælter en antagelse, som det meste hændelsesresponsplanlægning stadig læner sig op ad: at afstanden mellem en fejls eksistens og dens forvandling til en fungerende orm er forsvarerens buffer. Den buffer krymper hurtigere, end de fleste patch-cyklus-planer antager.

Hvad Dette Ændrer For Alle, Der Driver Forbrugerkonti

For enhver, der driver autentificering via stemme eller opkald, eller en virksomhedskonto knyttet til en beskedplatform som en WeChat Pay-forhandlerkonto, er det praktiske svar at forkorte den antagne kløft mellem offentliggørelse af en sårbarhed og reel udnyttelse i hændelsesresponsplanlægningen, og at overvåge stemme- og opkaldsbaserede autentificeringsveje lige så alvorligt som webbaserede. En trusselsmodel, der forbeholder zero-click, selvspredende udnyttelser til de mest fremtrædende statslige aktører, er allerede forældet. Seks uger er nu en plausibel tidslinje for et AI-understøttet forskningsteam, ikke kun for en nationalstat.

Servola Journal

Vi gør dette for alle, der prøver at følge med i, hvad teknologi gør ved vores liv. Menneskene, der bygger den, og menneskene, det sker for. Servola Journal findes, så det, vi lærer, tilhører dem alle.

Ingen betaler os for dette. Ingen annoncer, ingen betalingsmur, gratis for alle. Vi tror bare, at det at forstå, hvad der sker med os alle, ikke bør afhænge af, hvem der har råd til at betale for det.

Hvis det gav dig noget i dag, så sig til, at vi skal fortsætte. Følg os, giv et like, eller skriv en positiv kommentar. Vi læser dem alle, og de er det, der holder os i gang.

Læs videre: Dit LG-TV Optager Dig, Selv Når Det Ser Slukket Ud  |  Fejlen til 320 millioner dollar uden udgivet rettelse