WeWorm 展示 AI 加速零點擊漏洞研發：微信已修補，方法透明度仍有限
WeWorm 展示 AI 加速零點選漏洞研發：微信已修補，方法透明度仍有限
事件事實
安全研究公司 Calif 公佈 WeWorm 概念驗證，稱其利用微信 VoIP 通話堆疊中的記憶體損壞漏洞，在 iOS 與 Android 上實現零點選遠端程式碼執行。示範中的目標無須接聽或點選，受影響帳戶可再向聯絡人撥號，形成蠕蟲式傳播。Calif 表示，團隊在 AI 協助下約兩天完成漏洞發現與首個 RCE exploit，再用一星期建立蠕蟲演示。
Calif 的披露時間線顯示，研究者 7 月向騰訊報告問題，Android 8.0.77 與 iOS 8.0.76 於 8 月 21 日發布緩解版本，8 月 28 日確認服務端阻擋，騰訊其後確認漏洞可被用於遠端程式碼執行。The Register、紐約時報及多家安全媒體獨立報道了示範與修補狀態，但目前沒有公開 CVE、完整技術分析或 exploit 程式碼，騰訊亦未發布可供外界逐項核對的詳細公告。
研究判讀
這宗事件最值得注意的不是「AI 自己製造了蠕蟲」，而是 AI 可能縮短高門檻漏洞研究的迭代時間。Calif 的公開材料證實團隊使用了 AI，但沒有披露模型、提示、人工介入比例或可重現流程，因此「兩天完成 RCE」只能視為研究團隊的自述，不能當成已獨立驗證的生產力基準。現有示範也主要顯示微信帳戶接管；研究者稱漏洞可再串接成完整裝置控制，但未公開完整攻擊鏈。
另一方面，零點選與蠕蟲能力本身足以提高事件嚴重性。通訊應用會自動處理來電信令、編解碼與媒體資料，攻擊面在使用者做出任何操作前便已啟動。若漏洞可由已在聯絡人名單中的受害帳戶繼續傳播，社交圖譜便會成為擴散渠道。幸而現有報道沒有發現 Calif 以外的在野利用，且服務端緩解已覆蓋所有使用者，當前風險與披露前的理論擴散風險不可混為一談。
對使用者與平臺的影響
使用者仍應把微信更新至最新版本，避免只依賴服務端阻擋；企業亦應留意異常通話、帳戶行為與登入活動。平臺方需要把 VoIP、預覽、推送與附件解析等「互動前」路徑納入高優先順序攻擊面，並縮短安全更新與公開說明之間的落差。對 AI 安全研究而言，這是一個值得持續追蹤的案例，但只有在完整技術報告、可重現方法與第三方分析發布後，才能準確判斷 AI 實際貢獻了多少。