Zoom脆弱性「Zoomsday」、20未満のAIプロンプトで発見

Zoomが重大なセキュリティ脆弱性「Zoomsday」にパッチを適用した。この脆弱性の恐ろしさは、悪用方法が「公開されているAIモデルに20未満のプロンプトで発見できた」という点にある。A Securityの研究者によれば、従来はこの手の重大な脆弱性発見は「国家レベルの仕事」とされてきた。エリートチームが数ヶ月かけて初めて可能という領域だ。それが1日で実現した。攻撃方法は、Zoomのアノテーション機能（画面共有中にユーザーが描画できる機能）を悪用し、ユーザーの操作を必要とせずにデバイス上で悪意あるコードを実行できるというもの。被害は深刻で、データ盗聴、カメラやマイクの遠隔起動、マルウェアのインストールまで可能だ。

ここで見えるのは「セキュリティの民主化」という不気味な現実だ。従来は高度な脅威は高度な防御者によってのみ発見されるという暗黙の前提があった。国家機関や大手セキュリティ企業が先に脆弱性を見つけて、メーカーに報告し、パッチを当てるという流れだ。ところがAIの登場で、その前提が完全に壊れた。誰でも、どんな環境からでも、高度な脆弱性を発見できるようになった。防御と攻撃の非対称性が、一気に対称化しつつある。パッチが当たるまでの間、脆弱性知識は人間よりAIのほうが先に広がるということを意味する。

中小企業にとって、この現実は二つの示唆をもたらす。一つは、Zoomだけではなく、自社が導入している全てのシステムがAIによる脆弱性発見の対象になるということだ。二つは、セキュリティパッチの適用待ちという受け身の姿勢では追いつかないということだ。むしろ被害前提で対応策を構築する、つまり「いつ侵害されるか」を想定した準備段階に入る時期だと言える。既に脆弱性は発見されている可能性が高いのだから、対症療法から予防体制へのシフトが急務だ。