Meta确认数千Instagram账号因AI聊天机器人漏洞遭黑客入侵

核心要点

• 受影响规模：Meta已向至少20,225名受影响用户发出数据泄露通知。
• 漏洞根源：黑客利用了Instagram AI辅助账户恢复系统中的一个代码路径错误。
• 攻击手段：通过诱导AI机器人将验证码发送至黑客控制的邮箱，而非用户存档邮箱。
• 风险对象：未开启双重身份验证（2FA）的账号是此次攻击的主要目标。
• 泄露内容：黑客可完全访问受害者的个人资料、联系方式、出生日期、帖子及私信内容。

详细分析

AI恢复系统的逻辑缺陷

根据Meta提交给缅因州总检察长办公室的通知文件，此次大规模黑客行动利用了Instagram AI辅助账户恢复系统中的一个特定漏洞。虽然该AI工具本身的功能运作正常，但由于另一个独立代码路径中的Bug，系统未能正确验证请求密码重置的人员所提供的电子邮箱地址是否与系统存档的邮箱匹配。这使得黑客只需通过简单的交互，就能诱导聊天机器人将验证码发送到他们自己控制的邮箱中。

攻击的持续性与范围

此次黑客攻击行动持续了数月之久，直到本周才被发现并由404 Media和TechCrunch等媒体率先报道。Meta披露的数据显示，至少有20,225人的账号遭到入侵，其中包括30名居住在缅因州的用户。黑客不仅接管了Instagram主账号，还通过关联权限控制了用户的其他相关账号，获取了包括私信（DM）和账号活动记录在内的全部权限。

行业影响

此次事件为正在大力推行AI客服和自动化安全工具的科技行业敲响了警钟。它表明，即使AI模型本身逻辑严密，其与现有系统集成时的代码路径漏洞仍可能成为致命弱点。对于社交媒体平台而言，这再次证明了双重身份验证（2FA）在防御自动化攻击中的核心地位。Meta此次的漏洞暴露了在账户恢复等高风险环节过度依赖自动化流程而缺乏二次校验的潜在风险。

常见问题

为什么黑客能通过AI机器人重置我的密码？

因为系统存在一个Bug，导致AI机器人在处理重置请求时，没有核实你提供的邮箱是否真的是账号绑定的邮箱。黑客利用这一点，让机器人把验证码发到了他们自己的邮箱里。

哪些账号在此次事件中面临最高风险？

根据Meta的确认，那些没有开启双重身份验证（2FA）的Instagram账号最容易受到此类漏洞的攻击。开启2FA的用户通常能有效拦截此类通过重置密码进行的非法登录。

黑客通过这次攻击获取了哪些信息？

黑客获得了账号的完全控制权，可以读取用户的联系方式、出生日期、个人资料信息，并能查看所有帖子、私信内容以及账号的活动历史。