WeChat és l'aplicació de missatgeria dominant a la Xina i compta amb més de 1.439 milions de comptes actius mensuals arreu del món, la qual cosa converteix qualsevol fallada greu de seguretat en el seu codi en un risc d'escala massiva; el sector de la ciberseguretat porta mesos debatent si la intel·ligència artificial farà que aquest tipus de vulnerabilitats es trobin —i s'explotin— molt més ràpid que fins ara.
La firma de seguretat Calif ha explicat que el 23 de juliol un equip d'enginyeria va descobrir, amb l'ajuda d'IA, una fallada de corrupció de memòria a WeChat, i que en només dos dies —el 30 de juliol— ja tenien un primer exploit funcional per a Android capaç d'executar codi al telèfon de la víctima. Els investigadors asseguren que van dissenyar un conjunt d'habilitats perquè un model d'IA explorés i identifiqués possibles superfícies d'atac en aplicacions de missatgeria, i que va ser la mateixa IA qui va trobar la fallada; l'11 d'agost ja havien construït WeWorm, un cuc de tipus «zero-click» capaç de prendre el control total d'un compte de WeChat a iOS i Android a partir d'una simple trucada entrant d'un contacte ja existent, sense que la víctima l'hagi de respondre ni fer cap acció. Calif ho va notificar a Tencent, propietària de WeChat, que va publicar versions pedaçades per a Android i iOS el 21 d'agost i va confirmar el 28 d'agost que la mitigació s'havia aplicat també des del servidor per a tots els usuaris.
La notícia és rellevant perquè mostra, amb dates i xifres concretes, com la IA pot comprimir en poc més d'una setmana un procés —trobar una vulnerabilitat crítica i convertir-la en un cuc funcional— que fins fa poc hauria requerit mesos de feina d'un equip especialitzat, i perquè una fallada d'aquesta magnitud a una aplicació amb més de mil milions de comptes actius, si hagués caigut en mans malintencionades abans de ser pedaçada, hauria pogut comprometre centenars de milions de dispositius en poques hores, segons els experts consultats.
Calif no ha detallat exactament quin o quins models d'IA ha fet servir en la investigació, i no hi ha constància pública que ningú hagi explotat la fallada de manera maliciosa abans que Tencent la pedacés; les xifres sobre l'abast real del risc —com ara quants comptes s'haurien pogut veure afectats en un atac real— provenen de la mateixa firma que ha fet la investigació i de les persones que hi ha consultat, no d'una auditoria independent de Tencent.