Falha na anotação de compartilhamento de tela do Zoom, achada em menos de 20 prompts de IA, permitia tomar controle de qualquer dispositivo na chamada
Pesquisadores da A Security usaram modelos de IA disponíveis publicamente para encontrar, em menos de 20 prompts, uma cadeia de vulnerabilidades no protocolo de anotação em tempo real do Zoom que permitia assumir o controle de qualquer dispositivo participante de uma chamada com compartilhamento de tela ativado, sem qualquer interação da vítima. A Zoom já corrigiu as falhas com patches de servidor e cliente para todas as plataformas suportadas, mas o caso ilustra como ferramentas de IA já reduzem drasticamente o tempo e a expertise necessários para encontrar bugs críticos em software fechado.
A Security, empresa de defesa digital, encontrou vulnerabilidades no recurso de anotação em tempo real usado durante compartilhamento de tela no Zoom em junho de 2026, divulgando-as de forma coordenada nesta terça-feira junto com o aviso de segurança e os patches da Zoom. O ponto central da história não é apenas o bug em si, mas o processo: em vez de meses de engenharia reversa manual, os pesquisadores usaram modelos de IA disponíveis ao público para vasculhar o protocolo e produzir um exploit funcional com menos de 20 prompts.
As falhas ficavam no protocolo que sincroniza anotações (desenhos, marcações, texto sobreposto) entre host e participantes durante o compartilhamento de tela — uma função pouco visível e testada com menos rigor do que os caminhos principais de vídeo/áudio, mas que processa entrada estruturada vinda de qualquer participante da chamada. Por afetar clientes em todas as plataformas (Windows, macOS, Linux, iOS, Android) e ter componente client e server-side, a exploração permitia comprometer o dispositivo de qualquer pessoa na chamada, sem clique, sem aviso e sem qualquer sinal visível de ataque — o padrão clássico de uma falha zero-click em um canal que os usuários tratam como confiável por natureza.
O aspecto mais relevante para quem acompanha segurança de IA não é a vulnerabilidade do Zoom isoladamente — softwares de videoconferência acumulam esse tipo de falha há anos — mas a métrica de esforço. Segundo os pesquisadores, encontrar e explorar esse tipo de falha antes exigia uma equipe de cinco pessoas trabalhando por seis meses; agora, um único analista com acesso a um modelo de IA genérico chega ao mesmo resultado em uma tarde. Isso desloca a curva de custo-benefício de bug hunting em componentes obscuros e pouco revisados de software proprietário, tornando viável para atores com muito menos recursos atacar esse tipo de função.
A resposta da Zoom (patches server e client-side em todas as plataformas) mostra o ciclo de divulgação responsável funcionando como deveria, mas o caso reforça uma tendência preocupante: à medida que ferramentas de IA de uso geral se tornam melhores em achar vulnerabilidades em código complexo e mal documentado, a assimetria histórica entre atacante e defensor — que dependia de escassez de expertise em bug hunting — começa a se dissolver, e não necessariamente a favor do lado defensivo, já que atores maliciosos têm os mesmos modelos à disposição.