Quem: pesquisadores da empresa de segurança cibernética DepthFirst.
O que: em um teste de segurança, os pesquisadores combinaram múltiplas vulnerabilidades encontradas em componentes usados pelo TikTok e demonstraram que é possível acessar remotamente recursos do aparelho, incluindo a câmera e o rolo de fotos.
Como: a equipe adaptou e usou o modelo de inteligência artificial GLM, desenvolvido pela empresa chinesa Z.ai, para analisar códigos e apontar possíveis falhas. O modelo é gratuito e permite modificações pelos usuários, o que foi explorado pelos pesquisadores para automatizar parte da busca por trechos de código vulneráveis. A IA atuou como ferramenta de triagem e sugestão; os especialistas então testaram e combinaram as falhas encontradas até montar uma sequência que permitiu avançar por camadas de proteção do sistema.
Onde e quando: o teste foi realizado por pesquisadores nos Estados Unidos e o caso foi relatado pelo Washington Post. Após a comprovação de que a sequência de brechas poderia ser explorada para acessar funções protegidas do dispositivo, a equipe notificou o TikTok.
Consequências: com a junção das vulnerabilidades, os pesquisadores conseguiram visualizar a câmera e a galeria de fotos em um dos testes, demonstrando que um invasor, ao reproduzir a sequência, poderia obter acesso a informações e funções do aparelho que deveriam estar protegidas. O TikTok recebeu o aviso e passou a corrigir as falhas apontadas.
Por que é relevante: o episódio evidencia que modelos de IA podem acelerar a identificação de potenciais vulnerabilidades ao vasculhar grandes volumes de código e apontar trechos suscetíveis. Especialistas ressaltam que, embora a IA tenha agilizado o trabalho, ela não substituiu completamente a análise humana: pesquisadores precisaram validar e combinar as falhas encontradas para efetivar o acesso.
Risco: a mesma tecnologia pode ser adaptada por agentes maliciosos para automatizar busca por brechas e testar formas de exploração, especialmente quando se trata de modelos que podem ser baixados e modificados livremente. A demonstração dos pesquisadores não indica que exista atualmente uma exploração generalizada em curso, mas mostra como a dinâmica entre quem protege e quem ataca pode ser alterada pela IA.
Ao final dos testes e da notificação, o TikTok corrigiu as vulnerabilidades apontadas pela equipe da DepthFirst.
