ZoomのバグでAI活用、20回未満のプロンプトで発見
原題: A Zoom Screen-Sharing Bug Let Anyone Take Over Other Devices on a Call
なぜ重要か
AIを用いた脆弱性探索の参入障壁低下が実証され、ソフトウェアベンダーのセキュリティ対応の緊急性が一層高まっている。
セキュリティ企業A Securityの研究者は2026年8月、Zoomのスクリーン共有機能に存在した脆弱性を公開した。この脆弱性は公開AIツールを使い20回未満のプロンプトで発見されたもので、Zoom通話参加者のデバイスを無操作・無通知で乗っ取ることが可能だった。Zoomはすでにサーバーおよびクライアント双方にパッチを配布している。
セキュリティ企業A Securityの研究者は2026年6月初旬、市販のAIモデルを活用してZoomの脆弱性を発見した。攻撃者が同じZoom通話に参加するだけで、被害者側の操作や通知なしに相手のデバイスを完全に制御できるという深刻な内容だった。
脆弱性はスクリーン共有中のリアルタイムアノテーション（画面注釈）機能を実現するプロトコルに存在していた。研究者によると、AIによるバグ探索システムはこのコンポーネントに着目した。その理由は、人間のバグハンターと同様に、複雑で難解な機能ほど見落とされた脆弱性を含みやすいとAIが学習しているためだという。クローズドソースのプロプライエタリソフトウェアでは公開レビューの恩恵がなく、特にこうした問題が生じやすい。
影響を受けたのはZoomがサポートするすべてのOS（Windows、macOS、Linux、iOS、Android）上で動作するクライアントだ。ホスト・参加者を問わず、スクリーン共有が行われている通話の全参加者が攻撃対象となり得た。
A SecurityのコファウンダーであるOmer Gull氏はWIREDに対し、「以前であれば5人のチームが6ヶ月かけて発見していた脆弱性が、今や20回未満のプロンプトで同じ結果に到達できる。これは能力の民主化であり、参入障壁が急速に低下している」と述べた。さらに「Zoomは特に重要なターゲットであり、ユーザーは使用時に信頼を前提としているためリスクに気づきにくい」とも指摘した。
同社コファウンダーのYossi Torati氏も「Zoomに参加するだけでデバイスを乗っ取ることができた」と説明した。Zoomは2026年8月11日にセキュリティアドバイザリを発行し、サーバーおよびクライアント双方の修正を展開中であることを発表した。WIREDからのコメント要請にはZoom社からの回答はなかった。