A IA Reduziu O Tempo De Construção De Um Worm Para Dias

Bastou Uma Chamada

Investigadores da empresa de segurança Calif construíram uma prova de conceito a que chamam WeWorm: um worm de zero clique capaz de sequestrar uma conta do WeChat com nada mais do que uma chamada recebida. A exploração demorava segundos. Uma vez dentro, o exploit dava controlo total da conta, ler e enviar mensagens, fazer chamadas e agir em nome da vítima, e podia depois ligar aos próprios contactos da vítima para continuar a espalhar-se, telefone a telefone, sem que nenhum deles tivesse de clicar em nada. Funcionava tanto em iPhone como em Android.

A cronologia é a parte que vale a pena reter. A IA encontrou a vulnerabilidade subjacente em julho de 2026, antes da própria equipa de engenharia da Calif, que tomou conhecimento dela a 23 de julho e a comunicou à Tencent no dia seguinte. A IA ajudou depois a produzir um exploit de execução remota de código funcional em dois dias, e um worm autopropagável completo em cerca de mais uma semana, um trabalho que, segundo a Calif, antes poderia ter levado meses a uma equipa experiente.

A Verdadeira História É O Relógio, Não A Falha

A vulnerabilidade em si não é a notícia. Falhas em pilhas de chamadas e mensagens são encontradas e corrigidas regularmente, e as cerca de 1,4 mil milhões de contas do WeChat tornam-no um alvo grande mas comum para este tipo de investigação. O que mudou foi o relógio: o tempo entre a descoberta de uma vulnerabilidade e um worm armado e autopropagável caiu para cerca de seis semanas, usando ferramentas de IA que não são exóticas nem estão reservadas a um punhado de laboratórios. Essa cronologia está agora ao alcance de uma pequena equipa de investigação, não apenas de um programa estatal, e derruba um pressuposto em que ainda assenta a maior parte do planeamento de resposta a incidentes: que o intervalo entre a existência de uma falha e a sua transformação num worm funcional é a margem do defensor. Essa margem está a encolher mais depressa do que a maioria dos planos de ciclos de correções pressupõe.

O Que Muda Para Quem Gere Contas De Consumidores

Para qualquer responsável por autenticação via voz ou chamada, ou uma conta empresarial ligada a uma plataforma de mensagens como uma conta de comerciante WeChat Pay, a resposta prática é encurtar o intervalo assumido entre a divulgação de uma vulnerabilidade e a sua exploração real no planeamento de resposta a incidentes, e monitorizar os vetores de autenticação por voz e chamada com a mesma seriedade que os da web. Um modelo de ameaça que reserva exploits de zero clique e autopropagáveis apenas a atores estatais de topo já está desatualizado. Seis semanas são hoje uma cronologia plausível para uma equipa de investigação assistida por IA, não apenas para um estado-nação.

Leia a seguir: Atacantes aqueceram congeladores franceses a 50 graus  |  Os vermes de IA podem atingir primeiro o IoT barato