Zoom corrige une faille exploitée par moins de 20 requêtes IA

Zoom a corrigé une faille de sécurité majeure qui pouvait permettre à un attaquant de prendre le contrôle d’un appareil pendant une réunion, selon des chercheurs de A Security cités mardi dans leur blog. L’exploit reposait sur la fonction d’annotation de Zoom, celle qui sert à dessiner sur un écran partagé. La vulnérabilité concernait Windows, macOS, Linux, Android et iOS. Un correctif a été déployé mardi, mais l’épisode rappelle à quel point une application de visioconférence peut devenir un point d’entrée très sensible.

Une faille discrète, mais aux effets très concrets

Le scénario décrit par A Security ne demandait aucune action de la victime. Un attaquant pouvait rejoindre ou héberger une réunion, lancer du code malveillant sur l’appareil ciblé, puis voler des données, activer la caméra ou le micro, ou installer un logiciel malveillant. Le plus gênant, pour les équipes de sécurité comme pour les utilisateurs, tient au fait qu’aucun indice visuel n’alertait la personne compromise. En clair, la visioconférence continuait de tourner comme si de rien n’était. C’est rarement rassurant.

Dans leur billet, les chercheurs expliquent avoir découvert le problème avec « fewer than 20 prompts on publicly available AI models ». Idan Levcovich, chercheur en vulnérabilités chez A Security, ajoute : « Producing a working exploit against it has always been nation-state work: elite teams, months of effort, budgets that governments regulate as weapons. » Puis il précise : « A [Security] did it in a single day, with an AI agent and models anyone can access today. » Ces citations, publiées par A Security, montrent surtout que l’IA réduit fortement le temps nécessaire pour transformer une faiblesse logicielle en attaque exploitable.

Pourquoi ce cas compte pour l’industrie

Le sujet dépasse Zoom. Les outils d’IA accessibles au public servent désormais à accélérer la recherche de failles, y compris sur des services très répandus. Cela change le rapport de force entre éditeurs et attaquants, car un exploit qui demandait autrefois des moyens d’État peut désormais être approché plus vite, avec des ressources bien plus modestes. Pour les entreprises qui dépendent de la visioconférence, le message est simple : les fonctions collaboratives les plus pratiques sont aussi celles qui méritent le plus d’audits. La facilité d’usage a parfois un petit goût de piège à souris.