IA encontra falhas e acessa câmera e fotos de celular em teste no TikTok

Pesquisadores demonstram que inteligência artificial consegue identificar falhas no TikTok

Teste revela capacidade da IA em localizar vulnerabilidades

Um grupo de especialistas em segurança cibernética conseguiu utilizar um modelo de inteligência artificial para encontrar falhas significativas no aplicativo TikTok, permitindo acesso não autorizado a funções sensíveis do dispositivo móvel, como câmera e galeria de fotos. A descoberta foi revelada pelo jornal Washington Post e representa um sinal de alerta sobre os riscos crescentes envolvendo a combinação entre ferramentas de IA cada vez mais acessíveis e vulnerabilidades em aplicativos populares.

O trabalho foi desenvolvido por pesquisadores da DepthFirst, empresa especializada em segurança cibernética com sede nos Estados Unidos. O teste demonstrou que uma sequência de vulnerabilidades diferentes poderia ser encadeada de forma estratégica para transpor as camadas de proteção do aplicativo e chegar a recursos que deveriam permanecer restritos aos usuários legítimos.

Como a inteligência artificial foi aplicada

Os pesquisadores optaram pela utilização do GLM, um modelo de linguagem gratuito desenvolvido pela empresa chinesa Zhipu AI. Uma das principais características dessa ferramenta é a possibilidade de ser personalizada e adaptada conforme as necessidades dos usuários, o que permitiu à equipe integrar funcionalidades adicionais voltadas para análise de código-fonte.

Com essas adaptações, o modelo de IA passou a trabalhar na identificação de componentes de código aberto integrados ao TikTok e na detecção de possíveis pontos frágeis no sistema. A inteligência artificial não agiu de forma autônoma no ataque, mas funcionou como instrumento de suporte, acelerando significativamente o processo que normalmente demandaria horas de análise manual por especialistas.

O trabalho de segurança envolvia examinar quantidades expressivas de linhas de código-fonte, tarefas que são naturalmente trabalhosas quando realizadas manualmente. A IA, nesse contexto, mostrou-se particularmente útil ao indicar trechos específicos que apresentavam potencial para exploração e ao facilitar a realização de testes subsequentes dessas falhas.

A combinação estratégica de vulnerabilidades

Um aspecto particularmente relevante da descoberta é que uma única falha isolada não seria suficiente para comprometer a segurança. Os pesquisadores precisaram combinar múltiplas vulnerabilidades, encadeando-as de maneira estratégica para criar um caminho através do sistema que culminasse no acesso a recursos protegidos.

Em um dos testes realizados, essa sequência encadeada de brechas permitiu aos pesquisadores visualizar tanto a câmera frontal do dispositivo quanto o rolo de fotos armazenado no smartphone. O objetivo pedagógico dessa demonstração era documentar precisamente como falhas que individualmente poderiam parecer menores tornavam-se críticas quando combinadas de forma apropriada.

Esta abordagem de análise de segurança reflete uma realidade importante no campo da cibersegurança: muitas vezes os riscos mais sérios emergem não de um único ponto frágil dramático, mas da concatenação inteligente de múltiplas falhas aparentemente menores.

O papel acelerador da inteligência artificial na busca por vulnerabilidades

Historicamente, a identificação de vulnerabilidades de segurança em aplicativos complexos sempre demandou expertise técnica profunda e análise minuciosa de grandes volumes de código. Especialistas em segurança precisavam compreender linguagens de programação, padrões de desenvolvimento e os modos pelos quais sistemas poderiam ser contornados.

Os modelos contemporâneos de inteligência artificial transformam essa paisagem ao automatizar significativamente a etapa inicial de prospecção. Ao apontar trechos de código que apresentam características suspeitas ou padrões historicamente associados a vulnerabilidades conhecidas, a IA reduz dramaticamente o tempo necessário para que um pesquisador humano chegue a possíveis brechas.

Além da identificação, a inteligência artificial auxilia também na fase de teste das vulnerabilidades, ajudando a validar se as falhas encontradas realmente permitem ser exploradas de forma prática ou se são meramente teóricas. Essa aceleração do ciclo de descoberta representa uma mudança fundamental em como a segurança cibernética funciona.

Os riscos duplos da tecnologia

A mesma capacidade que torna modelos de IA ferramentas poderosas para pesquisadores defensivos preocupados em melhorar a segurança pode ser igualmente aproveitada para fins ofensivos. Um ator malicioso com conhecimento técnico apropriado poderia empregar essas mesmas ferramentas para sistematicamente procurar por aplicativos vulneráveis e identificar caminhos para explorá-los.

O risco amplifica-se particularmente quando esses modelos de IA podem ser descarregados e modificados livremente, como ocorre com o GLM utilizado no teste. A democratização da tecnologia de IA, embora traga benefícios significativos para segurança defensiva, também democratiza potencialmente as capacidades ofensivas.

Empresas de tecnologia e órgãos reguladores enfrentam, portanto, um desafio delicado: como promover pesquisa legítima em segurança e inovação, simultaneamente limitando o potencial para abuso dessas mesmas ferramentas.

A resposta do TikTok e o estado da segurança

Após receber notificação dos pesquisadores sobre as vulnerabilidades descobertas, a empresa responsável pelo TikTok agiu para corrigir as falhas identificadas. É importante frisar que a demonstração do problema não indica a existência de uma brecha de segurança ativa e conhecida que presentemente permitisse acessar câmeras ou galerias de fotos de usuários ativos da plataforma.

O episódio exemplifica o funcionamento do disclosure responsável, modelo em que pesquisadores descobrem problemas de segurança e os comunicam confidencialmente aos responsáveis pelo software antes de divulgar publicamente. A empresa teve oportunidade de remediação antes que o conhecimento das vulnerabilidades se tornasse público.

O contexto mais amplo de segurança em aplicativos móveis

Aplicativos móveis frequentemente enfrentam pressões conflitantes: precisam oferecer funcionalidades ricas que integrem diversos sensores do dispositivo, simultaneamente mantendo proteções robustas contra acessos não autorizados. A câmera e a galeria de fotos são particularmente sensíveis por envolverem dados privados dos usuários.

O teste realizado pela DepthFirst ilustra como essas integrações, embora necessárias para a experiência do usuário, aumentam a complexidade potencial de um aplicativo e, por conseguinte, a quantidade de pontos nos quais falhas de segurança poderiam teoricamente surgir. A magnitude do código-fonte em aplicativos modernos torna praticamente impossível a ausência total de vulnerabilidades, tornando mais realista o objetivo de minimizá-las e remediá-las continuamente.

O que acompanhar

Será importante monitorar se o TikTok implementará comunicações públicas oficiais detalhando quais vulnerabilidades foram corrigidas e em qual cronograma. Pesquisadores independentes certamente continuarão investigando outros aplicativos populares em busca de padrões semelhantes, o que pode resultar em descobertas adicionais de segurança.

A evolução das capacidades de modelos de IA como o GLM pode levar a descobertas ainda mais rápidas de vulnerabilidades, tornando relevante acompanhar como a indústria de segurança cibernética adapta seus processos de teste e remediação. Autoridades regulatórias podem também vir a intensificar requisitos de segurança para aplicativos que acessam dados sensíveis de dispositivos móveis.

Principais pontos:

• Pesquisadores usaram inteligência artificial para encontrar vulnerabilidades no TikTok que permitiam acessar a câmera e fotos do celular

• A IA foi utilizada como ferramenta para analisar código-fonte e identificar brechas, mas não executou o ataque autonomamente

• As vulnerabilidades precisavam ser combinadas estrategicamente para funcionar, demonstrando como falhas aparentemente menores tornam-se críticas quando encadeadas

• O TikTok corrigiu as falhas após notificação dos pesquisadores, e não há indicação de brecha ativa sendo explorada atualmente