Peneliti ing firma keamanan Calif wis nduduhake cacing sing nyebar dhewe sing bisa njupuk akun WeChat liwat ora luwih saka telpon mlebu - target ora kudu mangsuli, nutul link, utawa ndemek telpon. Perusahaan kasebut ujar manawa intelijen buatan mbantu nemokake bug sing ndasari lan nulis eksploitasi kerja pertama sajrone kira-kira rong dina.
Demonstrasi kasebut, dilapurake 8 September dening The Hacker News lan The New York Times, nuduhake carane AI sacara dramatis ngompres garis wektu kanggo ngembangake alat serangan serius. Ora ana serangan sing nggunakake cacat sing dilaporake, lan Tencent ujar manawa eksploitasi kasebut wis diblokir kanggo kabeh pangguna wiwit pungkasan Agustus - nanging amarga kabar keamanan AI wis dicritakake ing saindhenging taun 2026, eksploitasi sing dicepetake AI pindhah saka teori menyang praktik.
Cacing sing nyebar kanthi muni
Serangan kasebut bisa digunakake liwat fitur panggilan WeChat. Cacing kasebut njupuk akun WeChat korban nalika telpon nampa telpon saka panyerang - sanajan telpon ora dijawab, lan sanajan telpon mung muni ing meja ing kamar. Njawab ora mbantu: Calif ujar manawa korban ora krungu apa-apa lan eksploitasi kasebut isih sukses. Nolak telpon mungkasi upaya kasebut, nanging panyerang bisa nyoba maneh mengko, umpamane nalika target turu.
Ana siji kendala: panelpon kudu dadi salah siji saka kontak WeChat target. Calif udur sing lagi wae alangi ing laku, amarga yen siji kontak wis kompromi, kapercayan ekstra WeChat panggonan ing komunikasi kontak-kanggo-kontak ing sih panyerang. Saben akun sing dibajak dadi titik peluncuran anyar.
Demonstrasi kasebut nuduhake persis reaksi berantai kasebut. Siji telpon Android nelpon iPhone lan njupuk akun WeChat nalika telpon isih muni. IPhone sing mentas dikompromi banjur nelpon telpon Android kapindho lan ngrebut kontrol kanthi cara sing padha.
Sawise eksploitasi mlaku, panyerang entuk kontrol lengkap ing akun WeChat - maca lan ngirim pesen, nelpon, lan tumindak minangka pemilik akun kasebut. Kontrol telpon dhewe ora kalebu, nanging kanggo aplikasi sing dhaptar siji nyakup pembayaran, akun resmi, lan program mini, pengambilalihan akun minangka asil sing serius. Tencent nglaporake gabungan 1.439 milyar pangguna aktif saben wulan kanggo WeChat lan Weixin wiwit tanggal 30 Juni 2026.
Garis Wektu AI-Accelerated
Rincian sing paling penting yaiku sepira cepet iki teka bebarengan. Miturut Calif, tim kasebut kerja sama karo AI kanggo nemokake bug kasebut lan ngasilake eksploitasi pertama sing bisa mbukak kode ing telpon sajrone rong dina; mbangun cacing njupuk liyane minggu.
Garis wektu sing diterbitake perusahaan dhewe luwih konservatif nanging isih katon: tim teknike ngidentifikasi bug kasebut ing Juli 23, ngrampungake eksploitasi Android pisanan ing Juli 30, lan nuduhake cacing sing bisa digunakake ing 11 Agustus. Warta Hacker nyathet angka sing luwih cendhek bisa uga mung ngitung wektu kerja aktif - nanging kanthi cara apa wae, jarak saka panemuan wiwitan nganti nyebarake dhewe ing sasi nol utawa klik tradisional.
Peneliti keamanan wis ngelingake rong taun yen model basa gedhe bakal nyuda alangan kanggo ngeksploitasi pembangunan. Kasus iki minangka titik data konkrit: AI ora ngganti insinyur, nanging kanthi cepet nyepetake panemuan kerentanan lan senjata.
Tencent's Quiet Fix
Calif nglaporake cacat kasebut menyang Tencent ing wulan Juli. Perusahaan kasebut ujar manawa Tencent wis nyuda eksploitasi kanggo kabeh pangguna, lan tanggal 28 Agustus dikonfirmasi blok kasebut ditindakake ing server Tencent - tegese proteksi ora gumantung marang pangguna sing nginstal apa-apa.
Tencent ngirim WeChat versi 8.0.77 kanggo Android lan 8.0.76 kanggo iOS tanggal 21 Agustus, miturut log rilis dhewe, lan rilis kasebut nyuda bug saben Calif. Notabene, Tencent ora nerbitake pitunjuk keamanan babagan cacat kasebut. Cathetan rilis kasebut nggambarake nganyari mung minangka mbecike bug, lan ora ana pengenal CVE sing ditugasake wiwit 8 September. Warta Peretas ngontak loro perusahaan kasebut kanggo menehi komentar.
Ora ana perusahaan sing ujar manawa versi WeChat sing kena pengaruh, apa cacat kasebut ditrapake kanggo klien WeChat ing HarmonyOS, Windows, Mac, utawa Linux, utawa apa sing wis dieksploitasi ing alam bébas. Calif ujar manawa ora ana serangan sing dilaporake - lan pangguna ora duwe cara kanggo mriksa manawa dheweke ditarget, amarga telpon ora kejawab sing gagal kanthi meneng bisa uga ora ana jejak.
Apa Tegese kanggo Keamanan Seluler
Serangan Zero-click ing kelas iki biasane digandhengake karo vendor spyware kanthi sumber daya sing ngoperasikake target cilik sing duwe nilai dhuwur. Cacing - kode serangan sing nyebar dhewe saka korban menyang korban - ngganti kalkulus, amarga kemampuan sing padha bisa bisa diukur nganti atusan yuta akun. The New York Times, nyebutake para ahli, nglaporake serangan kasebut bisa nyebabake akeh piranti sajrone sawetara jam yen digunakake kanthi ala.
Calif nahan rincian teknis babagan kerentanan lan cacing kasebut nganti bisa menehi analisis lengkap ing konferensi keamanan, lan ora nerbitake apa-apa sing bisa digoleki para pembela. Watesan kasebut bakal mbatesi para peniru, nanging uga ninggalake ekosistem sing luwih jembar - aplikasi olahpesen liyane kanthi arsitektur panggilan sing padha - kanggo audit dhewe tanpa referensi.
Kanggo pangguna, takeaway praktis sempit: pamblokiran sisih server tegese ora ana tumindak sing dibutuhake, sanajan mbukak rilis WeChat saiki tetep disaranake. Kanggo industri keamanan, takeaway luwih jembar. Alur kerja sing dibantu AI sing ngowahi wiwitan dadi cacing klik-nol sing bisa digunakake sajrone telung minggu ora dadi eksperimen pikirane - iki minangka pipa sing didokumentasikake lan dituduhake.
Tetep Ahead saka AI
Tindakake paling anyar babagan keamanan AI, penyalahgunaan, lan perkembangan pertahanan ing AI Buzz Wire.
Waca liyane warta AI →
