सुरक्षा फर्म कैलिफ़ोर्निया के शोधकर्ताओं ने एक स्व-फैलाने वाला कीड़ा प्रदर्शित किया है जो एक इनकमिंग कॉल के अलावा और कुछ नहीं के माध्यम से वीचैट खाते पर कब्ज़ा कर सकता है - लक्ष्य को कभी भी जवाब नहीं देना होगा, किसी लिंक को टैप करना होगा, या फ़ोन को छूना होगा। कंपनी का कहना है कि कृत्रिम बुद्धिमत्ता ने उसे अंतर्निहित बग ढूंढने और लगभग दो दिनों में पहला कार्यशील शोषण लिखने में मदद की।
द हैकर न्यूज और द न्यूयॉर्क टाइम्स द्वारा 8 सितंबर को रिपोर्ट किए गए प्रदर्शन से पता चलता है कि एआई गंभीर हमले के उपकरण विकसित करने के लिए समयरेखा को कैसे नाटकीय रूप से संकुचित कर रहा है। दोष का उपयोग करने वाले किसी भी हमले की सूचना नहीं दी गई है, और Tencent का कहना है कि अगस्त के अंत से सभी उपयोगकर्ताओं के लिए शोषण को अवरुद्ध कर दिया गया है - लेकिन जैसा कि [एआई सुरक्षा समाचार] (https://aibuzzwire.news) ने पूरे 2026 में लिखा है, एआई-त्वरित शोषण सिद्धांत से अभ्यास की ओर बढ़ रहा है।
एक कीड़ा जो बजने से फैलता है
यह हमला WeChat के कॉलिंग फीचर पर काम करता है। जब पीड़ित के फोन पर हमलावर का कॉल आता है तो वर्म उनके वीचैट खाते पर कब्जा कर लेता है - भले ही कॉल अनुत्तरित हो जाए, और भले ही फोन कमरे में एक मेज पर बज रहा हो। उत्तर देने से मदद नहीं मिलती: कैलिफ़ोर्निया का कहना है कि पीड़ित कुछ नहीं सुनता और शोषण फिर भी सफल होता है। कॉल अस्वीकार करने से वह प्रयास रुक जाता है, लेकिन हमलावर बाद में फिर से प्रयास कर सकता है, उदाहरण के लिए जब लक्ष्य सो रहा हो।
एक बाधा है: कॉल करने वाले को पहले से ही लक्ष्य के WeChat संपर्कों में से एक होना चाहिए। कैलिफ़ोर्निया का तर्क है कि व्यवहार में यह बमुश्किल एक बाधा है, क्योंकि एक बार एक संपर्क से समझौता हो जाने पर, WeChat संपर्क-से-संपर्क संचार में जो अतिरिक्त भरोसा रखता है, वह हमलावर के पक्ष में काम करता है। प्रत्येक अपहृत खाता एक नया लॉन्च बिंदु बन जाता है।
प्रदर्शन में बिल्कुल वही श्रृंखलाबद्ध प्रतिक्रिया दिखाई दी। एक एंड्रॉइड फोन ने एक आईफोन को कॉल किया और उसके वीचैट खाते पर कब्जा कर लिया, जबकि फोन अभी भी बज रहा था। नए समझौता किए गए iPhone ने फिर एक दूसरे एंड्रॉइड फोन को कॉल किया और उसी तरह से उस पर नियंत्रण हासिल कर लिया।
एक बार शोषण चलने के बाद, हमलावर को WeChat खाते का पूर्ण नियंत्रण प्राप्त हो जाता है - संदेश पढ़ना और भेजना, कॉल करना और खाते के मालिक के रूप में कार्य करना। फ़ोन का नियंत्रण स्वयं शामिल नहीं है, लेकिन एक ऐसे ऐप के लिए जिसकी एकल सूची में भुगतान, आधिकारिक खाते और मिनी कार्यक्रम शामिल हैं, खाता अधिग्रहण अपने आप में एक गंभीर परिणाम है। Tencent ने 30 जून, 2026 तक WeChat और Weixin के लिए संयुक्त रूप से 1.439 बिलियन मासिक सक्रिय उपयोगकर्ताओं की सूचना दी।
एआई-त्वरित समयरेखा
सबसे परिणामी विवरण यह हो सकता है कि यह कितनी तेजी से एक साथ आया। कैलिफ़ोर्निया के अनुसार, इसकी टीम ने बग की खोज करने के लिए एआई के साथ काम किया और लगभग दो दिनों में फोन पर कोड चलाने में सक्षम पहला कारनामा तैयार किया; कृमि के निर्माण में एक और सप्ताह लग गया।
कंपनी की अपनी प्रकाशित समय-सीमा अधिक रूढ़िवादी है लेकिन फिर भी चौंकाने वाली है: इसकी इंजीनियरिंग टीम ने 23 जुलाई को बग की पहचान की, 30 जुलाई को पहला एंड्रॉइड एक्सप्लॉइट पूरा किया और 11 अगस्त को वर्किंग वर्म का प्रदर्शन किया। हैकर न्यूज नोट करता है कि छोटे आंकड़े केवल सक्रिय कार्य समय की गणना कर सकते हैं - लेकिन किसी भी तरह से, प्रारंभिक खोज से स्व-प्रचारित शून्य-क्लिक वर्म तक की दूरी को हफ्तों में मापा गया था, न कि पारंपरिक रूप से आवश्यक महीनों या वर्षों में।
सुरक्षा शोधकर्ताओं ने दो वर्षों से चेतावनी दी है कि बड़े भाषा मॉडल विकास के दोहन में आने वाली बाधाओं को कम कर देंगे। यह मामला एक ठोस डेटा बिंदु है: एआई ने इंजीनियरों को प्रतिस्थापित नहीं किया, लेकिन इसने भेद्यता की खोज और हथियारीकरण दोनों को भौतिक रूप से तेज कर दिया।
Tencent का शांत समाधान
कैलिफ़ोर्निया ने जुलाई में Tencent को दोष की सूचना दी। कंपनी का कहना है कि Tencent ने तब से सभी उपयोगकर्ताओं के लिए शोषण को कम कर दिया है, और 28 अगस्त को उसने पुष्टि की कि ब्लॉक को Tencent के सर्वर पर लागू किया जा रहा था - जिसका अर्थ है कि सुरक्षा उपयोगकर्ताओं द्वारा कुछ भी इंस्टॉल करने पर निर्भर नहीं है।
Tencent ने अपने स्वयं के रिलीज़ लॉग के अनुसार, 21 अगस्त को Android के लिए WeChat संस्करण 8.0.77 और iOS के लिए 8.0.76 भेजा, और उन रिलीज़ों ने प्रति कैलिफ़ोर्निया बग को कम कर दिया। विशेष रूप से, Tencent ने दोष के बारे में कोई सुरक्षा सलाह प्रकाशित नहीं की है। इसके रिलीज़ नोट्स में अपडेट को केवल बग फिक्स के रूप में वर्णित किया गया है, और 8 सितंबर तक कोई सीवीई पहचानकर्ता नहीं सौंपा गया था। हैकर न्यूज ने टिप्पणी के लिए दोनों कंपनियों से संपर्क किया।
किसी भी कंपनी ने यह नहीं बताया है कि WeChat के कौन से संस्करण प्रभावित हुए थे, क्या खामी हार्मनीOS, Windows, Mac, या Linux पर WeChat क्लाइंट तक फैली थी, या क्या इसका कभी भी बेतहाशा शोषण किया गया था। कैलिफ़ोर्निया का कहना है कि किसी भी हमले की सूचना नहीं दी गई है - और उपयोगकर्ताओं के पास यह जांचने का कोई तरीका नहीं है कि क्या उन्हें लक्षित किया गया था, क्योंकि एक मिस्ड कॉल जो चुपचाप विफल हो जाती है, कोई निशान नहीं छोड़ सकती है।
मोबाइल सुरक्षा के लिए इसका क्या अर्थ है
इस वर्ग के ज़ीरो-क्लिक हमले अधिकतर उच्च-मूल्य वाले लक्ष्यों की छोटी संख्या के विरुद्ध काम करने वाले अच्छी तरह से संसाधन वाले स्पाइवेयर विक्रेताओं से जुड़े हुए हैं। एक वर्म - हमला कोड जो खुद को पीड़ित से पीड़ित तक फैलाता है - कैलकुलस को बदल देता है, क्योंकि यह समान क्षमता को संभावित रूप से सैकड़ों लाखों खातों में स्केलेबल बनाता है। न्यूयॉर्क टाइम्स ने विशेषज्ञों का हवाला देते हुए बताया कि अगर हमले का इस्तेमाल दुर्भावनापूर्ण तरीके से किया गया होता तो सैद्धांतिक तौर पर कुछ ही घंटों में बड़ी संख्या में उपकरण क्षतिग्रस्त हो सकते थे।
कैलिफ़ोर्निया भेद्यता और वर्म के तकनीकी विवरण को तब तक रोक रहा है जब तक कि वह एक सुरक्षा सम्मेलन में पूर्ण विश्लेषण प्रस्तुत नहीं कर सकता, और उसने ऐसा कुछ भी प्रकाशित नहीं किया है जिसे रक्षक खोज न सकें। यह संयम नकलचियों को सीमित करेगा, लेकिन यह व्यापक पारिस्थितिकी तंत्र - समान कॉलिंग आर्किटेक्चर वाले अन्य मैसेजिंग ऐप्स - को बिना किसी संदर्भ के खुद को ऑडिट करने के लिए भी छोड़ देता है।
उपयोगकर्ताओं के लिए, व्यावहारिक रास्ता संकीर्ण है: सर्वर-साइड ब्लॉक का मतलब है कि किसी कार्रवाई की आवश्यकता नहीं है, हालांकि वर्तमान WeChat रिलीज़ को चलाने की सलाह दी जाती है। सुरक्षा उद्योग के लिए, टेकअवे व्यापक है। एक एआई-सहायता प्राप्त वर्कफ़्लो जो तीन सप्ताह से कम समय में एक स्थायी शुरुआत को एक कार्यशील शून्य-क्लिक वर्म में बदल देता है, अब एक सोचा हुआ प्रयोग नहीं है - यह एक दस्तावेज, प्रदर्शित पाइपलाइन है।
एआई से आगे रहें
एआई सुरक्षा, दुरुपयोग और रक्षा विकास पर नवीनतम जानकारी एआई बज़ वायर पर देखें।
अधिक AI समाचार पढ़ें →
