หนอนไวรัสที่สร้างขึ้นโดย AI แบบ Zero-Click สามารถแย่งชิงบัญชี WeChat ได้ทางโทรศัพท์ – Tencent ได้ทำการแก้ไขอย่างเงียบ ๆ

นักวิจัยจากบริษัทรักษาความปลอดภัย Calif ได้สาธิตเวิร์มที่แพร่กระจายในตัวเองซึ่งสามารถเข้าครอบครองบัญชี WeChat ผ่านทางสายเรียกเข้า โดยเป้าหมายไม่จำเป็นต้องตอบ แตะลิงก์ หรือแตะโทรศัพท์ บริษัทกล่าวว่าปัญญาประดิษฐ์ช่วยค้นหาจุดบกพร่องที่ซ่อนอยู่และเขียนช่องโหว่การทำงานครั้งแรกในเวลาประมาณสองวัน

การสาธิตดังกล่าวรายงานโดย The Hacker News และ The New York Times เมื่อวันที่ 8 กันยายน แสดงให้เห็นว่า AI กำลังบีบอัดไทม์ไลน์ในการพัฒนาเครื่องมือโจมตีร้ายแรงได้อย่างมากเพียงใด ไม่มีการรายงานการโจมตีที่ใช้ข้อบกพร่องนี้ และ Tencent กล่าวว่าการโจมตีดังกล่าวถูกบล็อกสำหรับผู้ใช้ทุกคนตั้งแต่ปลายเดือนสิงหาคม แต่เนื่องจาก ข่าวความปลอดภัยของ AI ได้เผยแพร่ตลอดปี 2026 การแสวงหาผลประโยชน์ที่เร่งด้วย AI กำลังเปลี่ยนจากทฤษฎีไปสู่การปฏิบัติ

หนอนที่แพร่กระจายด้วยเสียงกริ่ง

การโจมตีดังกล่าวทำงานผ่านฟีเจอร์การโทรของ WeChat เวิร์มจะเข้ายึดบัญชี WeChat ของเหยื่อเมื่อโทรศัพท์ของพวกเขาได้รับสายจากผู้โจมตี แม้ว่าสายนั้นจะไม่ได้รับการตอบรับ และแม้ว่าโทรศัพท์จะดังอยู่บนโต๊ะฝั่งตรงข้ามของห้องก็ตาม คำตอบไม่ได้ช่วยอะไร: Calif บอกว่าเหยื่อไม่ได้ยินอะไรเลย และการเอารัดเอาเปรียบยังคงประสบผลสำเร็จ การปฏิเสธการโทรจะหยุดความพยายามนั้น แต่ผู้โจมตีสามารถลองอีกครั้งในภายหลังได้ เช่น ในขณะที่เป้าหมายอยู่ในโหมดสลีป

มีข้อจำกัดประการหนึ่งคือ ผู้โทรจะต้องเป็นหนึ่งในผู้ติดต่อ WeChat ของเป้าหมายอยู่แล้ว Calif แย้งว่านั่นแทบจะไม่เป็นอุปสรรคในทางปฏิบัติ เพราะเมื่อผู้ติดต่อรายหนึ่งถูกบุกรุก ความไว้วางใจเพิ่มเติมที่ WeChat มอบให้ในการสื่อสารแบบติดต่อต่อผู้ติดต่อจะทำงานเพื่อประโยชน์ของผู้โจมตี บัญชีที่ถูกแย่งชิงแต่ละบัญชีจะกลายเป็นจุดเริ่มต้นใหม่

การสาธิตแสดงให้เห็นอย่างชัดเจนถึงปฏิกิริยาลูกโซ่นั้น โทรศัพท์ Android เครื่องหนึ่งเรียกว่า iPhone และเข้าครอบครองบัญชี WeChat ในขณะที่โทรศัพท์ยังคงดังอยู่ iPhone ที่ถูกบุกรุกใหม่จึงเรียกโทรศัพท์ Android เครื่องที่สองและเข้าควบคุมในลักษณะเดียวกัน

เมื่อช่องโหว่ทำงาน ผู้โจมตีจะสามารถควบคุมบัญชี WeChat ได้อย่างสมบูรณ์ — อ่านและส่งข้อความ โทรออก และทำหน้าที่เป็นเจ้าของบัญชี ไม่รวมการควบคุมโทรศัพท์ แต่สำหรับแอปที่มีรายการเดียวครอบคลุมการชำระเงิน บัญชีอย่างเป็นทางการ และมินิโปรแกรม การครอบครองบัญชีถือเป็นผลลัพธ์ที่ร้ายแรงด้วยตัวมันเอง Tencent รายงานผู้ใช้งาน WeChat และ Weixin รวมกัน 1.439 พันล้านต่อเดือน ณ วันที่ 30 มิถุนายน 2026

ไทม์ไลน์ที่เร่งด้วย AI

รายละเอียดที่เป็นผลสืบเนื่องที่สุดอาจอยู่ที่ความรวดเร็วในการประกอบกัน ตามที่ Calif ระบุ ทีมงานทำงานร่วมกับ AI เพื่อค้นหาจุดบกพร่องและสร้างช่องโหว่แรกที่สามารถเรียกใช้โค้ดบนโทรศัพท์ได้ภายในเวลาประมาณสองวัน การสร้างหนอนใช้เวลาอีกหนึ่งสัปดาห์

ไทม์ไลน์ที่เผยแพร่ของบริษัทนั้นค่อนข้างอนุรักษ์นิยมแต่ยังคงโดดเด่น ทีมวิศวกรระบุจุดบกพร่องในวันที่ 23 กรกฎาคม ใช้งาน Android ครั้งแรกสำเร็จในวันที่ 30 กรกฎาคม และสาธิตเวิร์มทำงานในวันที่ 11 สิงหาคม Hacker News ตั้งข้อสังเกตว่าตัวเลขที่สั้นกว่าอาจนับเฉพาะเวลาทำงานที่ใช้งานเท่านั้น แต่อย่างใด ระยะทางจากการค้นพบครั้งแรกไปจนถึงเวิร์มแบบคลิกเป็นศูนย์ที่แพร่กระจายตัวเองนั้นวัดเป็นสัปดาห์ ไม่ใช่เดือนหรือปีความสามารถดังกล่าวตามธรรมเนียม

นักวิจัยด้านความปลอดภัยได้เตือนมาเป็นเวลาสองปีแล้วว่าโมเดลภาษาขนาดใหญ่จะลดอุปสรรคในการใช้ประโยชน์จากการพัฒนา กรณีนี้เป็นจุดข้อมูลที่เป็นรูปธรรม: AI ไม่ได้เข้ามาแทนที่วิศวกร แต่ช่วยเร่งการค้นพบช่องโหว่และการสร้างอาวุธได้อย่างมาก

การแก้ไขอย่างเงียบๆ ของ Tencent

รัฐแคลิฟอร์เนียรายงานข้อบกพร่องดังกล่าวต่อ Tencent ในเดือนกรกฎาคม บริษัทกล่าวว่า Tencent ได้บรรเทาช่องโหว่สำหรับผู้ใช้ทั้งหมดแล้ว และเมื่อวันที่ 28 สิงหาคม บริษัทยืนยันว่ามีการบังคับใช้การบล็อกบนเซิร์ฟเวอร์ของ Tencent ซึ่งหมายความว่าการป้องกันไม่ได้ขึ้นอยู่กับผู้ใช้ที่ติดตั้งสิ่งใดๆ

Tencent จัดส่ง WeChat เวอร์ชัน 8.0.77 สำหรับ Android และ 8.0.76 สำหรับ iOS เมื่อวันที่ 21 สิงหาคม ตามบันทึกการเผยแพร่ของบริษัทเอง และการเผยแพร่เหล่านั้นได้บรรเทาข้อบกพร่องในรัฐแคลิฟอร์เนีย โดยเฉพาะอย่างยิ่ง Tencent ไม่ได้เผยแพร่คำแนะนำด้านความปลอดภัยเกี่ยวกับข้อบกพร่องดังกล่าว บันทึกประจำรุ่นจะอธิบายการอัปเดตว่าเป็นการแก้ไขข้อบกพร่องเท่านั้น และไม่มีการกำหนดตัวระบุ CVE ณ วันที่ 8 กันยายน Hacker News ติดต่อทั้งสองบริษัทเพื่อขอความคิดเห็น

ไม่มีบริษัทใดกล่าวว่า WeChat เวอร์ชันใดได้รับผลกระทบ ไม่ว่าข้อบกพร่องจะขยายไปยังไคลเอนต์ WeChat บน HarmonyOS, Windows, Mac หรือ Linux หรือไม่ หรือไม่ว่าจะเคยถูกนำไปใช้ประโยชน์ในป่าหรือไม่ Calif กล่าวว่าไม่มีรายงานการโจมตี และผู้ใช้ไม่มีวิธีตรวจสอบว่าพวกเขาตกเป็นเป้าหมายหรือไม่ เนื่องจากสายที่ไม่ได้รับซึ่งล้มเหลวอย่างเงียบๆ อาจไม่ทิ้งร่องรอยไว้

ความหมายของความปลอดภัยบนมือถือ

การโจมตีแบบ Zero-click ของคลาสนี้ส่วนใหญ่เกี่ยวข้องกับผู้จำหน่ายสปายแวร์ที่มีทรัพยากรเพียงพอซึ่งดำเนินการกับเป้าหมายที่มีมูลค่าสูงจำนวนไม่มาก เวิร์ม — รหัสการโจมตีที่แพร่กระจายตัวเองจากเหยื่อไปยังเหยื่อ — เปลี่ยนแปลงแคลคูลัส เพราะมันทำให้ความสามารถเดียวกันนี้สามารถปรับขนาดไปยังบัญชีหลายร้อยล้านบัญชีได้ หนังสือพิมพ์นิวยอร์กไทมส์ อ้างจากผู้เชี่ยวชาญ รายงานว่า โดยหลักการแล้วการโจมตีดังกล่าวอาจทำให้อุปกรณ์จำนวนมหาศาลเสียหายได้ภายในไม่กี่ชั่วโมงหากถูกนำไปใช้อย่างมุ่งร้าย

แคลิฟอร์เนียกำลังระงับรายละเอียดทางเทคนิคของช่องโหว่และเวิร์มจนกว่าจะสามารถนำเสนอการวิเคราะห์ฉบับเต็มในการประชุมด้านความปลอดภัย และไม่ได้เผยแพร่สิ่งใดที่ผู้พิทักษ์สามารถค้นหาได้ ความยับยั้งชั่งใจดังกล่าวจะจำกัดการลอกเลียนแบบ แต่ยังทำให้ระบบนิเวศในวงกว้าง — แอพส่งข้อความอื่นๆ ที่มีสถาปัตยกรรมการโทรคล้ายกัน — สามารถตรวจสอบตัวเองโดยไม่มีการอ้างอิง

สำหรับผู้ใช้ สิ่งที่นำไปใช้ได้จริงนั้นแคบ: การบล็อกฝั่งเซิร์ฟเวอร์หมายความว่าไม่จำเป็นต้องดำเนินการใดๆ แม้ว่ายังคงแนะนำให้ใช้งาน WeChat รุ่นปัจจุบันอยู่ก็ตาม สำหรับอุตสาหกรรมการรักษาความปลอดภัย ประเด็นสำคัญมีมากขึ้น ขั้นตอนการทำงานที่ได้รับความช่วยเหลือจาก AI ซึ่งเปลี่ยนจุดเริ่มต้นให้กลายเป็นเวิร์มแบบคลิกเป็นศูนย์ที่ใช้งานได้ภายในเวลาไม่ถึงสามสัปดาห์นั้นไม่ใช่การทดลองทางความคิดอีกต่อไป แต่เป็นไปป์ไลน์ที่ได้รับการบันทึกไว้และสาธิตแล้ว

ก้าวนำหน้า AI

ติดตามข่าวสารล่าสุดเกี่ยวกับการรักษาความปลอดภัยของ AI การใช้ในทางที่ผิด และการพัฒนาการป้องกันได้ที่ AI Buzz Wire

อ่านข่าว AI เพิ่มเติม →