أظهر باحثون في شركة كاليف الأمنية دودة ذاتية الانتشار يمكنها الاستيلاء على حساب WeChat من خلال مكالمة واردة فقط - لا يتعين على الهدف مطلقًا الرد أو النقر على رابط أو لمس الهاتف. وتقول الشركة إن الذكاء الاصطناعي ساعدها في العثور على الخلل الأساسي وكتابة أول استغلال للعمل في غضون يومين تقريبًا.
يُظهر العرض التوضيحي، الذي نشرته صحيفتا The Hacker News وThe New York Times في 8 سبتمبر، مدى تأثير الذكاء الاصطناعي في ضغط الجدول الزمني لتطوير أدوات الهجوم الجادة. لم يتم الإبلاغ عن أي هجمات باستخدام الثغرة، وتقول Tencent إن الاستغلال قد تم حظره لجميع المستخدمين منذ أواخر أغسطس - ولكن كما تم تأريخ [أخبار أمان الذكاء الاصطناعي] (https://aibuzzwire.news) طوال عام 2026، فإن استغلال الذكاء الاصطناعي المسرع ينتقل من النظرية إلى التطبيق.
دودة تنتشر بالرنين
يعمل الهجوم على ميزة الاتصال الخاصة بـ WeChat. تسيطر الدودة على حساب WeChat الخاص بالضحية عندما يتلقى هاتفه مكالمة من المهاجم - حتى إذا لم يتم الرد على المكالمة، وحتى إذا كان الهاتف يرن ببساطة على طاولة في جميع أنحاء الغرفة. الرد لا يساعد: يقول كاليف إن الضحية لا يسمع شيئًا ولا يزال الاستغلال ناجحًا. يؤدي رفض المكالمة إلى إيقاف هذه المحاولة، ولكن يمكن للمهاجم ببساطة المحاولة مرة أخرى لاحقًا، على سبيل المثال أثناء نوم الهدف.
هناك قيد واحد: يجب أن يكون المتصل بالفعل أحد جهات اتصال WeChat الخاصة بالهدف. ويرى كاليف أن هذا لا يمثل عائقًا عمليًا، لأنه بمجرد اختراق جهة اتصال واحدة، فإن الثقة الإضافية التي يضعها WeChat في التواصل بين جهات الاتصال تعمل لصالح المهاجم. يصبح كل حساب مختطف نقطة انطلاق جديدة.
وأظهرت المظاهرة بالضبط هذا التفاعل المتسلسل. اتصل أحد هواتف Android بجهاز iPhone واستحوذ على حساب WeChat الخاص به بينما كان الهاتف لا يزال يرن. ثم اتصل جهاز iPhone الذي تم اختراقه حديثًا بهاتف Android ثانٍ وسيطر عليه بنفس الطريقة.
بمجرد تشغيل الثغرة، يكتسب المهاجم السيطرة الكاملة على حساب WeChat - قراءة الرسائل وإرسالها، وإجراء المكالمات، والعمل بصفته مالك الحساب. لا يتم تضمين التحكم في الهاتف نفسه، ولكن بالنسبة للتطبيق الذي تغطي قائمته الفردية المدفوعات والحسابات الرسمية والبرامج الصغيرة، فإن الاستيلاء على الحساب يعد نتيجة خطيرة في حد ذاته. أبلغت Tencent عن وجود 1.439 مليار مستخدم نشط شهريًا لـ WeChat وWeixin اعتبارًا من 30 يونيو 2026.
الجدول الزمني المتسارع بالذكاء الاصطناعي
قد تكون التفاصيل الأكثر أهمية هي مدى سرعة حدوث ذلك. وبحسب كاليف، فقد عمل فريقها مع الذكاء الاصطناعي لاكتشاف الثغرة وإنتاج أول استغلال قادر على تشغيل التعليمات البرمجية على الهاتف في غضون يومين تقريبًا؛ استغرق بناء الدودة أسبوعًا آخر.
يعد الجدول الزمني المنشور للشركة أكثر تحفظًا ولكنه لا يزال ملفتًا للنظر: فقد حدد فريقها الهندسي الخطأ في 23 يوليو، وأكمل أول استغلال لنظام Android في 30 يوليو، وعرض الدودة العاملة في 11 أغسطس. وتشير Hacker News إلى أن الأرقام الأقصر قد تحسب فقط وقت العمل النشط - ولكن في كلتا الحالتين، تم قياس المسافة من الاكتشاف الأولي إلى دودة نقرة صفرية ذاتية الانتشار بالأسابيع، وليس بالأشهر أو السنوات التي تتطلبها هذه القدرات تقليديًا.
لقد حذر الباحثون الأمنيون لمدة عامين من أن النماذج اللغوية الكبيرة من شأنها أن تقلل من حاجز استغلال التنمية. تمثل هذه الحالة نقطة بيانات ملموسة: لم يحل الذكاء الاصطناعي محل المهندسين، ولكنه أدى إلى تسريع اكتشاف الثغرات الأمنية وتحويلها إلى أسلحة.
الإصلاح الهادئ لتينسنت
أبلغ كاليف شركة Tencent بالخلل في شهر يوليو. وتقول الشركة إن Tencent قامت منذ ذلك الحين بتخفيف الاستغلال لجميع المستخدمين، وأنها أكدت في 28 أغسطس أنه تم فرض الحظر على خوادم Tencent - مما يعني أن الحماية لا تعتمد على قيام المستخدمين بتثبيت أي شيء.
قامت Tencent بشحن إصدار WeChat 8.0.77 لنظام Android و8.0.76 لنظام iOS في 21 أغسطس، وفقًا لسجل الإصدار الخاص بها، وقد خففت هذه الإصدارات من الخطأ في كاليفورنيا. والجدير بالذكر أن Tencent لم تنشر أي مشورة أمنية حول الخلل. تصف ملاحظات الإصدار التحديثات فقط على أنها إصلاحات للأخطاء، ولم يتم تعيين أي معرف لـ CVE اعتبارًا من 8 سبتمبر. اتصلت Hacker News بالشركتين للتعليق.
ولم تذكر أي من الشركتين إصدارات WeChat التي تأثرت، سواء امتد الخلل إلى عملاء WeChat على HarmonyOS أو Windows أو Mac أو Linux، أو ما إذا كان قد تم استغلاله على الإطلاق. يقول كاليف إنه لم يتم الإبلاغ عن أي هجمات، وأن المستخدمين ليس لديهم طريقة للتحقق مما إذا كانوا مستهدفين، لأن المكالمة الفائتة التي تفشل بصمت قد لا تترك أي أثر.
ماذا يعني بالنسبة لأمن الهاتف المحمول
ارتبطت هجمات النقر الصفري من هذه الفئة في الغالب ببائعي برامج تجسس ذوي موارد جيدة يعملون ضد أعداد صغيرة من الأهداف ذات القيمة العالية. تعمل الدودة - وهي عبارة عن كود هجوم ينتشر من ضحية إلى أخرى - على تغيير حسابات التفاضل والتكامل، لأنها تجعل نفس القدرة قابلة للتطوير إلى مئات الملايين من الحسابات. وذكرت صحيفة نيويورك تايمز، نقلاً عن خبراء، أن الهجوم كان من الممكن من حيث المبدأ أن يعرض عددًا هائلاً من الأجهزة للخطر في غضون ساعات لو تم استخدامه بشكل ضار.
تحجب شركة Calif التفاصيل الفنية للثغرة الأمنية والدودة حتى تتمكن من تقديم التحليل الكامل في مؤتمر أمني، ولم تنشر أي شيء يمكن للمدافعين البحث عنه. سيحد هذا التقييد من المقلدين، لكنه يترك أيضًا النظام البيئي الأوسع - تطبيقات المراسلة الأخرى ذات بنيات الاتصال المماثلة - لتدقيق نفسها دون مرجع.
بالنسبة للمستخدمين، فإن الفكرة العملية ضيقة: الحظر من جانب الخادم يعني عدم الحاجة إلى اتخاذ أي إجراء، على الرغم من أن تشغيل إصدار WeChat الحالي يظل أمرًا مستحسنًا. بالنسبة لصناعة الأمن، فإن الوجبات الجاهزة أوسع نطاقا. إن سير العمل بمساعدة الذكاء الاصطناعي الذي يحول البداية الدائمة إلى دودة عاملة بدون نقرة في أقل من ثلاثة أسابيع لم يعد تجربة فكرية - بل هو مسار موثق ومثبت.
البقاء في صدارة الذكاء الاصطناعي
تابع أحدث التطورات المتعلقة بأمن الذكاء الاصطناعي وإساءة استخدامه والدفاع على AI Buzz Wire.
اقرأ المزيد من أخبار الذكاء الاصطناعي →
