Um modelo de inteligência artificial modificado pela startup DepthFirst foi usado para localizar vulnerabilidades em um componente de código aberto utilizado pelo TikTok. A empresa informou o problema ao aplicativo, que confirmou a vulnerabilidade e corrigiu a falha.
A equipe combinou as brechas encontradas para demonstrar o acesso remoto à câmera e ao rolo de fotos de um smartphone enquanto ele navegava pelo TikTok. A demonstração foi feita por um funcionário da DepthFirst em um vídeo analisado pelo The Washington Post.
Modelo adaptado para buscar brechas
A DepthFirst alterou o modelo GLM, da Z.ai, para procurar problemas em softwares. A possibilidade de baixar e modificar gratuitamente modelos chineses, como os da Z.ai e da DeepSeek, contrasta com as restrições a recursos avançados de segurança adotadas por laboratórios americanos como Anthropic e OpenAI.
O episódio também evidencia o uso duplo dessas ferramentas. A inteligência artificial pode ajudar equipes a encontrar e corrigir vulnerabilidades antes que sejam exploradas, mas também pode acelerar operações de invasão e ampliar a capacidade de criminosos de automatizar ataques.
A Unit 42 identificou ferramentas de IA que encontraram mais de 14 mil vulnerabilidades em quase 4 mil projetos de código aberto. Segundo a empresa, mais de 99% dos problemas ainda não haviam sido relatados. Em outro caso citado, uma operação de invasão que levaria mais de dez dias foi concluída em cerca de dez horas.
Recomendações de segurança
A Unit 42 também registrou o uso de inteligência artificial por invasores para procurar vulnerabilidades, escolher alvos e tentar explorá-los. Modelos gratuitos ainda ficam atrás dos sistemas mais avançados voltados à cibersegurança, mas estão evoluindo rapidamente.
John Hultquist, analista do Google Threat Intelligence Group, afirmou que a tecnologia pode ampliar a capacidade de hackers experientes e facilitar a atuação de pessoas com menos conhecimento técnico.
Qasim Mithani, CEO da DepthFirst, recomendou manter os aplicativos atualizados e limitar as permissões concedidas a eles, especialmente para fotos, localização e câmera. “Você não deve confiar em nenhum aplicativo”, disse ao The Washington Post.
