安全公司构建零点击微信蠕虫可跨iOS和Android传播，腾讯证实漏洞已修复

美国网络安全公司Calif开发了一个名为WeWorm的零点击蠕虫攻击概念验证，可针对微信实施入侵。Calif总部位于美国加利福尼亚州帕洛阿尔托。该公司的研究团队向微信联系人拨打一通电话，即可在数秒内劫持目标微信账号，整个过程无需受害者进行任何操作。Calif称，这是已知首个能在苹果iOS和安卓系统之间传播的零点击计算机蠕虫。腾讯在收到Calif的通报后展开调查并完成修复，修复程序已部署至服务器，对所有用户生效。腾讯表示，目前没有证据显示该漏洞曾被利用或用户受到影响，用户无需更新应用程序。

Calif的研究摘要显示，WeWorm利用了微信对已保存好友电话号码的信任机制。一旦某个微信账号被入侵，蠕虫可读取和发送消息、拨打电话并控制受害者的账户，并自动向账户通讯录中的其他号码继续传播。如果被攻击用户接听电话或任其响铃，攻击便会成功；只有在手机第一次震动后的几秒内拒接，才能阻止入侵。Calif还表示，结合其他安全漏洞，攻击者可以借助被入侵的微信账户完全控制受害者的手机。

Calif表示，其研究团队利用人工智能在两天内发现了微信的安全漏洞，又用一周时间构建出这款蠕虫。研究人员采用开源人工智能模型与美国领先模型组合的方式完成研究，但未透露具体模型名称。与此相关的案例还包括，2026年5月，Calif曾利用早期版本的人工智能模型绕过了苹果macOS操作系统的安全防护机制。这些人工智能系统在发现和利用漏洞时，需要与人类网络安全专业知识相结合，并非完全自主完成攻击。

Calif在公开披露WeWorm之前，曾向白宫官员通报了情况，白宫官员确认已收到通报。腾讯2026年发布的信息显示，微信每月活跃用户超过14亿，绝大多数用户位于中国。近期，OpenAI等100多家主要科技公司联合签署了一封公开信。Anthropic公司在2026年4月发布新款人工智能模型时表示，该模型已在各主要操作系统和浏览器中识别出数千个零日漏洞。随后，Anthropic和OpenAI等实验室将其最新、最强大的模型仅向特定公司和政府机构开放。