发生了什么
Zoom近日修复了一个严重安全漏洞，该漏洞允许攻击者在会议期间劫持任意参会者的设备。据The Verge报道，安全研究团队A Security在周二发布的博客中透露，他们利用“公开可用的AI模型上的不到20条提示词”就发现了这一漏洞。该漏洞涉及Zoom的标注功能，具体细节尚未完全公开，但影响范围可能覆盖所有使用该功能的用户。
为什么重要
这一事件之所以引人注目，不在于漏洞本身，而在于发现方式。传统漏洞挖掘通常需要专业的安全研究人员花费数周甚至数月，编写复杂的代码或使用专门的工具。而这次，研究人员仅通过向公开AI模型输入不到20条提示词，就找到了一个可被远程利用的高危漏洞。这标志着AI在网络安全领域的应用进入了一个新阶段：AI不仅能辅助防御，也能被低成本地用于攻击性研究。
更值得警惕的是，这种方法的门槛极低。任何具备基本AI使用能力的人，都可能复现类似的研究。这意味着，漏洞挖掘不再局限于少数专家，而是可能被更广泛的群体所掌握。对于Zoom这样的主流平台，这无疑增加了安全压力。
影响与看点
对于用户而言，虽然Zoom已发布补丁，但漏洞的发现方式提醒我们：AI工具正在成为双刃剑。对于开发者，这一事件凸显了在开发过程中引入AI安全测试的必要性，尤其是在涉及用户交互的功能（如标注）中。对于安全行业，这可能会引发一场关于“AI辅助漏洞挖掘”的伦理讨论：当AI能轻易发现漏洞时，如何确保这些技术不被滥用？
值得关注的是，A Security团队并未公开完整的提示词，这可能是为了避免被恶意利用。但可以预见，类似的方法将很快在安全社区中传播。未来，我们可能会看到更多利用AI模型进行漏洞挖掘的案例，而企业需要提前布局，将AI纳入安全测试流程，而不是被动应对。
我的判断是：AI辅助漏洞挖掘将成为安全研究的常态，而“Zoomsday”只是开始。
