Meta AI 客服漏洞导致超 2 万 Instagram 账号被盗
阅读原文· ithome.comMeta AI 支持工具存在安全漏洞，黑客利用越狱提示词诱导系统生成 Instagram 密码重置链接并发送至攻击者控制的邮箱，从而盗号。漏洞位于账号恢复系统“High Touch Support (HTS)”，因代码路径未验证重置邮箱与账号持有人关联。今年 4 月中旬至 5 月底，受影响用户超 2 万（官方数据 20225 人）。Meta 于 5 月 31 日关闭该 AI 工具并注销所有可能受影响的链接。安全媒体称 Sephora 官方账号、美国太空军总军士长个人账号等已被篡改。
IT之家 6 月 10 日消息，Meta 本周证实，旗下 Meta AI 支持工具存在一项安全漏洞，导致黑客能够借助 AI 助手重置 Instagram 用户密码进而盗取账号。官方估计从今年 4 月中旬到 5 月底已有超过 2 万名用户受到影响。
具体来看，此次问题出现在 Meta AI 的 Instagram 账号恢复系统“High Touch Support（HTS）”中，该功能原本是为“无法访问邮箱的用户”设计的辅助恢复机制，但由于 Meta AI 的部分代码路径没有正确验证“申请重置邮箱”与“账号真实持有人”之间的关联关系，导致被黑客滥用。
IT之家参考官方通报信息，这一漏洞从 4 月 17 日开始遭到黑客大规模利用，受影响用户数量达到 20225 人，黑客主要向 Meta AI 支持助手发送一系列越狱提示词，诱导系统生成 Instagram 账号密码重置链接，并要求 AI 将链接发送到攻击者控制的邮箱，一旦获得重置链接，黑客便可以修改密码并接管目标账号。
Meta 表示，公司在 5 月 31 日发现问题后，已经第一时间关闭相关 AI 支持工具，并注销所有可能受影响的密码重置链接。目前“没有证据表明账号数据已经被访问”。不过安全媒体 SecurityWeek 则是透露包括美妆连锁品牌 Sephora 官方账号、美国太空军总军士长 John Bentivegna 个人账号等均遭到黑客篡改。