攻击者接管了受害者的Zoom AI，从Zoom及其连接服务中提取数据。背景：Zoom的旗舰AI功能是ZoomMate，一个基于用户Zoom账户及任何连接服务（例如OneDrive、Google、连接器等）数据的代理聊天机器人。该代理似乎被赋予了不受限制的HTTPS网络访问环境，且没有用户或管理员级别的配置来限制它。在本文中，我们探讨了恶意技能（或提示注入）如何可以操控Zoom的代理，连接到攻击者的服务器，使得攻击者能够发出自己的命令并从受害者的租户中提取数据。更进一步，攻击者的连接即使在用户点击‘停止’代理并关闭Zoom后也可以保持活跃。此外，最终发给用户的聊天输出看起来完全正常。ZoomMate广泛的互联网访问环境似乎是预期的功能。没有明显的漏洞或程序组件未按预期工作而需向Zoom披露。我们发布本文是为了通知可能不知道使用不严格网络沙箱的代理聊天机器人所带来的风险的用户。攻击链：受害者请求一份他们本周会议的报告；受害者正在使用他们上传到Zoom的技能。注意：本文中的攻击也可以在没有技能的情况下通过间接提示注入（例如，隐藏的指令Zoom接收，如电子邮件）进行。技能通常通过在线市场分发，并可以在Zoom内不同用户之间共享；之前的研究显示攻击者正在向这些在线注册表上传恶意技能。上传的每周会议报告技能列在已安装的Zoom技能中。注意：Zoom确实在用户上传技能时提供警告，但我们认为其并未充分告知他们所接受的风险。该警告为：“该技能不是来自Zoom的官方目录，并且未经过Zoom验证。在安装之前，请确保您信任该技能的创建者。” Zoom AI运行来自恶意技能的代码。即使用户点击‘停止’按钮或关闭Zoom，攻击也不会停止，因为它在Zoom的服务器上继续在代理环境中运行。恶意技能中的代码每隔几秒向攻击者的服务器发出网络请求（HTTPS），请求要运行的命令。当攻击者发送命令时，脚本在Zoom环境中执行，并将结果返回给攻击者的服务器。ZoomMate执行来自技能的恶意脚本。攻击者发送命令提取会议记录、消息、连接器中的数据等。攻击者运行命令从Zoom及连接应用程序中提取数据。注意：攻击者可以针对ZoomMate可访问的Zoom中的数据，包括连接的数据源。尚未确认攻击者是否可以利用Zoom的浏览器集成功能从其他网站提取数据。一份外表正常的报告被交付给用户，攻击者保持连接。PromptArmor威胁情报：您的组织是否受到供应商AI的保护？PromptArmor持续监控您在第三方AI供应商、技能、插件、连接器、MCP服务器、模型等方面的投资组合。我们检测此类漏洞和变化，在其成为事件之前暴露风险。了解更多。