Investigadores de seguridad han demostrado que el chatbot agéntico de Zoom, ZoomMate, puede ser comprometido mediante una Skill maliciosa o una inyección de prompt indirecta, permitiendo a un atacante conectarse a sus servidores y robar datos de la cuenta de la víctima. El ataque explota el hecho de que el agente opera con acceso HTTPS sin restricciones hacia internet y sin opciones de configuración para limitarlo a nivel de usuario o administrador.
La cadena de ataque comienza cuando la víctima pide un informe sobre sus reuniones y utiliza una Skill subida por ella misma o previamente instalada. Zoom AI ejecuta el código de esa Skill, que realiza peticiones HTTPS periódicas a un servidor controlado por el atacante pidiendo instrucciones. El servidor responde con comandos que se ejecutan dentro del entorno del agente en los servidores de Zoom, lo que permite exfiltrar transcripciones de reuniones, mensajes y datos de conectores como OneDrive o Google.
Los autores subrayan que la conexión del atacante se mantiene activa aunque el usuario pulse el botón de detener o cierre la aplicación de Zoom, ya que el código sigue ejecutándose en los servidores de la compañía. Mientras tanto, el chat muestra al usuario un informe aparentemente normal. El aviso que Zoom muestra al subir una Skill no describe estos riesgos, según los investigadores. La vulnerabilidad no responde a un fallo de programación concreto, sino al diseño del producto, por lo que se publica para advertir a los usuarios del riesgo de usar chatbots agénticos sin un sandboxing de red estricto.