Um grupo de especialistas em segurança cibernética dos Estados Unidos realizou, em junho de 2024, um teste que demonstrou a possibilidade de acessar remotamente a câmera e o rolo de fotos de um smartphone que utilizava o TikTok. O experimento foi conduzido com o apoio de um modelo de inteligência artificial gratuito, revelando um novo vetor de ataque que combina vulnerabilidades de software e automação inteligente.
Como a inteligência artificial foi empregada na descoberta
Os pesquisadores utilizaram o modelo GLM, desenvolvido pela empresa chinesa Z.ai, para analisar trechos de código aberto que compõem o aplicativo. A IA foi configurada para varrer milhares de linhas de código e apontar padrões que indicassem falhas de segurança.
Em vez de depender exclusivamente de revisão manual, o algoritmo destacou trechos que continham chamadas de função vulneráveis, permissões excessivas ou validações insuficientes. Esse processo reduziu drasticamente o tempo necessário para identificar pontos críticos.
Após a triagem inicial, os analistas humanos confirmaram as suspeitas levantadas pela IA, testando cada possível brecha em um ambiente controlado. Essa colaboração entre máquina e especialista permitiu montar um panorama completo das fragilidades presentes.
Detalhes da exploração das vulnerabilidades
O caminho até a câmera do dispositivo não se baseou em uma única falha; foi preciso encadear quatro vulnerabilidades distintas, como se fossem peças de um quebra‑cabeça. Cada vulnerabilidade, isolada, não concedia acesso significativo, mas a combinação permitiu escalar privilégios dentro do aplicativo.
A primeira falha envolvia um endpoint que não verificava adequadamente a origem das requisições, permitindo que um atacante enviasse comandos falsos. A segunda vulnerabilidade era uma injeção de código em um módulo de processamento de mídia, que possibilitava a execução de scripts arbitrários.
A terceira brecha relacionava‑se a permissões de armazenamento mal configuradas, expondo o caminho do diretório de fotos ao usuário não autenticado. Por fim, a quarta falha era um bug no gerenciamento de sessões, que permitia a reutilização de tokens expirados.
Ao combinar essas quatro falhas, os pesquisadores criaram uma cadeia de exploração que culminou na ativação da câmera e na leitura do rolo de fotos, tudo sem a necessidade de interação física com o aparelho.
- Endpoint sem validação de origem
- Injeção de código no módulo de mídia
- Permissões de armazenamento excessivas
- Gerenciamento de sessões vulnerável
Essas vulnerabilidades foram encontradas em componentes de código aberto que o TikTok incorpora em sua infraestrutura, demonstrando que dependências externas podem ser vetores críticos de risco.
Repercussões, respostas e desafios futuros
Após a descoberta, a equipe de segurança do TikTok foi notificada e lançou, ainda em junho, atualizações que corrigiram todas as falhas apontadas. O comunicado oficial ressaltou que a demonstração foi realizada em ambiente controlado e que não há evidência de exploração em larga escala.
Especialistas em cibersegurança alertam, porém, que a rapidez com que a IA pode analisar código cria um cenário de corrida armamentista digital. Ferramentas gratuitas e modificáveis, como o modelo GLM, podem ser adotadas tanto por defensores quanto por criminosos.
O caso evidencia três tendências importantes: a automação da descoberta de vulnerabilidades, a ampliação do leque de atores capazes de explorar falhas e a necessidade de revisão contínua de dependências de código aberto. Cada uma dessas tendências impõe novos requisitos para equipes de desenvolvimento e segurança.
Além disso, a demonstração reforça a importância de programas de bug bounty e de colaboração entre empresas e pesquisadores independentes. Quando vulnerabilidades são divulgadas de forma responsável, o tempo de exposição ao risco diminui consideravelmente.
Entretanto, a democratização de modelos de IA também pode nivelar o campo de jogo para grupos mal‑intencionados. A capacidade de varrer grandes bases de código em minutos, identificar pontos fracos e gerar exploits automatizados representa um desafio regulatório e técnico ainda em construção.
Para mitigar esses riscos, recomenda‑se que as organizações adotem práticas como:
- Revisão de código estática com ferramentas alimentadas por IA
- Monitoramento contínuo de dependências de terceiros
- Políticas de atualização automática de bibliotecas vulneráveis
- Treinamento de desenvolvedores sobre segurança em IA
Em última análise, o teste demonstra que a inteligência artificial já não é apenas uma assistente criativa, mas um agente ativo na descoberta de falhas críticas. O equilíbrio entre inovação e proteção dependerá da capacidade das empresas de integrar essas tecnologias de forma segura e transparente.
O cenário futuro aponta para uma maior integração de IA nos processos de teste de penetração, mas também para a necessidade de regulamentações que evitem o uso indevido dessas mesmas ferramentas. Enquanto isso, usuários do TikTok podem ficar mais tranquilos sabendo que a plataforma já corrigiu as vulnerabilidades apontadas, embora a vigilância constante permaneça essencial.
