A Security、Zoom の脆弱性「Zoomsday」を AI で発見──20 回未満のプロンプトで全端末を乗っ取り
A Security の研究チームが 20 回未満の AI プロンプトで Zoom の脆弱性を発見し、国家機密級の攻撃コード作成を 1 日に短縮した事例は、生成 AI がサイバー攻撃のコスト構造を根底から書き換えた現実を示している。
リリース: 2026-08-11 · 読了 3 分記事の要約
1. 核心（What）
- A Security の研究チームが、20 回未満の公開 AI モデル向けプロンプトを用いて Zoom アプリのセキュリティ脆弱性「Zoomsday」を発見した。
- この脆弱性は Zoom のアノテーション機能に存在し、攻撃者が会議に参加または主催するだけで被害者の端末で任意のコードを実行できる仕様になっていた。
- Zoom は本脆弱性に対し、Windows、macOS、Linux、Android、iOS を対象とした修正パッチを火曜日に緊急発行した。
2. 影響（Why）
- サイバー攻撃の敷居を劇的に引き下げる AI の実証: 国家レベルの国家機密チームが数カ月かけていた脆弱性解析を AI エージェントが 1 日で実用化したため、セキュリティ監査の前提として「AI による高速な攻撃コード生成」を織り込む必要に迫られている。
- 国内 SaaS およびリモートワーク企業のインシデント対策: 国内のビジネス向けツールベンダー（SaaS 業界・従業員数百人規模）は、エンドポイントの脆弱性修正サイクルを従来の月次から数日単位へ短縮しなければ、生成 AI 駆動型の標的型攻撃に追いつかなくなる。
3. 根拠・詳細（How）
- アノテーション機能を標的としたリモートコード実行: 画面共有時の描画処理を行うアノテーション機能の不備を突き、攻撃者が会議経由で対象デバイスへマルウェアのインストールやカメラ・マイクの強制起動を引き起こす仕組み。
- 全マルチプラットフォームへの修正パッチ適用: Windows、macOS、Linux、Android、iOS の全対応環境に向けて火曜日に一斉配信され、被害者の視覚的兆候を残さない脆弱性を強制的に塞いだ。
4. 展望・課題（Next）
- AI を活用した防御側ツールへの投資加速: 攻撃側が AI でゼロデイ脆弱性を短期間に突き破るトレンドを受け、防衛側も自動脆弱性診断や AI 駆動型のコードレビューを開発パイプラインに組み込む動きが急務となる。