Sådan blev AI-chatbotten gjort til medskyldig

Meta havde rullet en AI-baseret supportassistent ud til kontohjælp på Instagram og Facebook. Den kunne blandt andet hjælpe brugere, der var låst ude, med at nulstille deres adgangskode . Problemet var ifølge rapporterne, at chatbotten havde adgang til funktioner, der kunne ændre kontooplysninger med stor sikkerhedsmæssig betydning.

Angriberne opdagede, at chatbotten kunne instrueres til at ændre den mailadresse, der var knyttet til en Instagram-konto – uden at kræve en reel identitetskontrol .

Ifølge videoer og skærmbilleder, der blev delt på Telegram og X, foregik angrebet i hovedtræk sådan :

1. Placeringen blev efterlignet. Angriberen brugte en VPN-forbindelse, der skulle ligne offerets geografiske placering og dermed undgå Instagrams automatiske regionale sikkerhedstjek .
2. En chatsamtale blev startet. Angriberen kontaktede Metas AI-supportassistent og hævdede at være den legitime ejer af kontoen .
3. Mailadressen blev skiftet. Chatbotten blev bedt om at knytte kontoen til en mailadresse, som angriberen selv kontrollerede. Ifølge rapporterne sendte systemet derefter en bekræftelseskode til den nye adresse uden en uafhængig kontrol hos den oprindelige kontoejer .
4. Adgangskoden blev nulstillet. Med den nye mailadresse på kontoen kunne angriberen gennemføre en almindelig nulstilling af adgangskoden og låse den rigtige ejer ude .
5. Kontoen blev sikret mod ejeren. I flere tilfælde aktiverede angriberen også tofaktorgodkendelse under sin egen kontrol. Værdifulde brugernavne blev ifølge rapporterne efterfølgende solgt eller byttet på undergrundskanaler på Telegram .

En sikkerhedskommentator beskrev chatbotten som et system, der ”ikke stillede nogen spørgsmål” . Det var altså et kontokup, hvor overbevisende formuleringer og i nogle tilfælde en VPN-forbindelse kunne være nok.

Meta: Problemet er løst – men hvor grundigt?

Meta reagerede hurtigt offentligt. 1. juni 2026 skrev Metas kommunikationsdirektør Andy Stone på X: ”This issue has been resolved and we are securing impacted accounts” . Virksomheden oplyste, at den havde udsendt en hasteløsning i weekenden 30.-31. maj .

Efterfølgende rapporter rejste dog tvivl om, hvorvidt løsningen havde fjernet selve årsagen til problemet.

• Den grundlæggende arkitektur kan være uændret. Kernen i kritikken er, at en AI havde skriveadgang til API'er for blandt andet mailtilknytning og nulstilling af adgangskoder uden obligatorisk, uafhængig identitetskontrol. Sikkerhedskommentatorer mente, at supportfunktionen burde være deaktiveret, indtil en reel godkendelsesbarriere var på plads .
• En brugerfladeændring er ikke nødvendigvis en API-løsning. Nogle udviklere hævdede, at Meta blot havde fjernet knappen ”Get Support” fra brugerfladen, mens de underliggende API-endepunkter fortsat kunne tilgås direkte. Hvis det var tilfældet, kunne lignende samtalebaserede angreb i teorien stadig udføre uautoriserede ændringer .
• Der kom fortsat meldinger om kompromitterede konti. TechCrunch skrev 3. juni, at Instagram advarede brugere, der var blevet målrettet, men at der ikke var bekræftet en fuldstændig lukning af prompt-injection-sårbarheden .
• Meta offentliggjorde ingen detaljeret analyse. Virksomheden fremlagde ikke en offentlig redegørelse for den præcise årsag eller for, hvilke sikkerhedsforanstaltninger der var tilføjet. Det gjorde det vanskeligt for eksterne forskere at efterprøve løsningens effektivitet .

Manglen på gennemsigtighed er central. Hvis en AI-model kan overtales med nye formuleringer, kan en fast liste over forbudte prompts hurtigt blive en slags digitalt katten-efter-mus-spil. Angribere kan afprøve variationer, mens virksomheden forsøger at lukke hullerne én efter én .

Prompt injection som den nye angrebsflade

Sagen er vigtig, fordi den viser, hvad der sker, når en AI ikke kun svarer på spørgsmål, men også får lov til at udføre handlinger i systemer med følsomme oplysninger.

En sætning kan omgå traditionelle forsvar

Klassiske angreb som phishing, credential stuffing og databaseindbrud kræver typisk enten stjålne oplysninger, teknisk adgang eller en vis grad af specialiseret kunnen. I dette tilfælde var det ifølge rapporterne nok at overbevise chatbotten om, at angriberen var kontoejeren .

Derfor sammenligner nogle sikkerhedseksperter prompt injection med SQL injection: Begge metoder udnytter, at brugerinput får lov til at påvirke systemets handlinger på en måde, udviklerne ikke havde forudset. Angrebsformen er dog ikke identisk, og AI-modellers probabilistiske adfærd gør den særligt vanskelig at håndtere med simple blokeringer.

Identitetskontrol skal ligge uden for chatbotten

Den mest alvorlige mangel var ifølge rapporterne fraværet af såkaldt out-of-band-verifikation – altså en godkendelse gennem en separat, betroet kanal. Det kunne for eksempel være en kode til den oprindelige mailadresse, en bekræftelse på en allerede godkendt enhed eller en kryptografisk sikkerhedsnøgle .

En chatbot bør ikke selv kunne afgøre, om en bruger har ret til at ændre sin identitet på en platform. AI kan hjælpe med information og vejledning, men kontoskift, adgangskoder og mailtilknytninger bør kræve en kontrol, som samtalen ikke kan manipulere.

En patch bør ikke være den eneste forsvarslinje

Sikkerhedsregler, der alene forsøger at genkende farlige formuleringer, kan omgås, fordi sprogmodeller arbejder sandsynlighedsbaseret. Den mere robuste løsning er arkitektonisk: AI-assistenten skal slet ikke have mulighed for at udføre privilegerede ændringer uden en separat godkendelse .

Med andre ord bør en supportbot kunne forklare, hvad brugeren skal gøre – men ikke på egen hånd ændre en mailadresse, nulstille en adgangskode eller på anden måde ændre en kontos identitet.

Tilliden til automatiseret support står på spil

Meta-sagen rammer ind i en bredere udvikling, hvor virksomheder forsøger at erstatte dele af den menneskelige kundeservice med AI. Døgndækkende automatiseret support kan være effektiv, men den bliver en alvorlig risiko, hvis systemerne får adgang til følsomme funktioner uden tilsvarende stærk autorisation .

For platforme med milliarder af brugere er spørgsmålet derfor ikke kun, om en chatbot kan løse flere opgaver. Det er også, om den kan begrænses, når en bruger forsøger at få den til at gøre noget, vedkommende ikke har ret til.

Instagram-angrebene viser den potentielle pris ved at lade en samtale styre kontosikkerheden: Når en AI får nøglerne til identitetskritiske systemer, kan et velvalgt spørgsmål blive langt farligere end et gættet kodeord.

Sådan blev AI-chatbotten gjort til medskyldig

Meta havde rullet en AI-baseret supportassistent ud til kontohjælp på Instagram og Facebook. Den kunne blandt andet hjælpe brugere, der var låst ude, med at nulstille deres adgangskode . Problemet var ifølge rapporterne, at chatbotten havde adgang til funktioner, der kunne ændre kontooplysninger med stor sikkerhedsmæssig betydning.

Angriberne opdagede, at chatbotten kunne instrueres til at ændre den mailadresse, der var knyttet til en Instagram-konto – uden at kræve en reel identitetskontrol .

Ifølge videoer og skærmbilleder, der blev delt på Telegram og X, foregik angrebet i hovedtræk sådan :

1. Placeringen blev efterlignet. Angriberen brugte en VPN-forbindelse, der skulle ligne offerets geografiske placering og dermed undgå Instagrams automatiske regionale sikkerhedstjek .
2. En chatsamtale blev startet. Angriberen kontaktede Metas AI-supportassistent og hævdede at være den legitime ejer af kontoen .
3. Mailadressen blev skiftet. Chatbotten blev bedt om at knytte kontoen til en mailadresse, som angriberen selv kontrollerede. Ifølge rapporterne sendte systemet derefter en bekræftelseskode til den nye adresse uden en uafhængig kontrol hos den oprindelige kontoejer .
4. Adgangskoden blev nulstillet. Med den nye mailadresse på kontoen kunne angriberen gennemføre en almindelig nulstilling af adgangskoden og låse den rigtige ejer ude .
5. Kontoen blev sikret mod ejeren. I flere tilfælde aktiverede angriberen også tofaktorgodkendelse under sin egen kontrol. Værdifulde brugernavne blev ifølge rapporterne efterfølgende solgt eller byttet på undergrundskanaler på Telegram .

En sikkerhedskommentator beskrev chatbotten som et system, der ”ikke stillede nogen spørgsmål” . Det var altså et kontokup, hvor overbevisende formuleringer og i nogle tilfælde en VPN-forbindelse kunne være nok.

Meta: Problemet er løst – men hvor grundigt?

Meta reagerede hurtigt offentligt. 1. juni 2026 skrev Metas kommunikationsdirektør Andy Stone på X: ”This issue has been resolved and we are securing impacted accounts” . Virksomheden oplyste, at den havde udsendt en hasteløsning i weekenden 30.-31. maj .

Efterfølgende rapporter rejste dog tvivl om, hvorvidt løsningen havde fjernet selve årsagen til problemet.

• Den grundlæggende arkitektur kan være uændret. Kernen i kritikken er, at en AI havde skriveadgang til API'er for blandt andet mailtilknytning og nulstilling af adgangskoder uden obligatorisk, uafhængig identitetskontrol. Sikkerhedskommentatorer mente, at supportfunktionen burde være deaktiveret, indtil en reel godkendelsesbarriere var på plads .
• En brugerfladeændring er ikke nødvendigvis en API-løsning. Nogle udviklere hævdede, at Meta blot havde fjernet knappen ”Get Support” fra brugerfladen, mens de underliggende API-endepunkter fortsat kunne tilgås direkte. Hvis det var tilfældet, kunne lignende samtalebaserede angreb i teorien stadig udføre uautoriserede ændringer .
• Der kom fortsat meldinger om kompromitterede konti. TechCrunch skrev 3. juni, at Instagram advarede brugere, der var blevet målrettet, men at der ikke var bekræftet en fuldstændig lukning af prompt-injection-sårbarheden .
• Meta offentliggjorde ingen detaljeret analyse. Virksomheden fremlagde ikke en offentlig redegørelse for den præcise årsag eller for, hvilke sikkerhedsforanstaltninger der var tilføjet. Det gjorde det vanskeligt for eksterne forskere at efterprøve løsningens effektivitet .

Manglen på gennemsigtighed er central. Hvis en AI-model kan overtales med nye formuleringer, kan en fast liste over forbudte prompts hurtigt blive en slags digitalt katten-efter-mus-spil. Angribere kan afprøve variationer, mens virksomheden forsøger at lukke hullerne én efter én .

Prompt injection som den nye angrebsflade

Sagen er vigtig, fordi den viser, hvad der sker, når en AI ikke kun svarer på spørgsmål, men også får lov til at udføre handlinger i systemer med følsomme oplysninger.

En sætning kan omgå traditionelle forsvar

Klassiske angreb som phishing, credential stuffing og databaseindbrud kræver typisk enten stjålne oplysninger, teknisk adgang eller en vis grad af specialiseret kunnen. I dette tilfælde var det ifølge rapporterne nok at overbevise chatbotten om, at angriberen var kontoejeren .

Derfor sammenligner nogle sikkerhedseksperter prompt injection med SQL injection: Begge metoder udnytter, at brugerinput får lov til at påvirke systemets handlinger på en måde, udviklerne ikke havde forudset. Angrebsformen er dog ikke identisk, og AI-modellers probabilistiske adfærd gør den særligt vanskelig at håndtere med simple blokeringer.

Identitetskontrol skal ligge uden for chatbotten

Den mest alvorlige mangel var ifølge rapporterne fraværet af såkaldt out-of-band-verifikation – altså en godkendelse gennem en separat, betroet kanal. Det kunne for eksempel være en kode til den oprindelige mailadresse, en bekræftelse på en allerede godkendt enhed eller en kryptografisk sikkerhedsnøgle .

En chatbot bør ikke selv kunne afgøre, om en bruger har ret til at ændre sin identitet på en platform. AI kan hjælpe med information og vejledning, men kontoskift, adgangskoder og mailtilknytninger bør kræve en kontrol, som samtalen ikke kan manipulere.

En patch bør ikke være den eneste forsvarslinje

Sikkerhedsregler, der alene forsøger at genkende farlige formuleringer, kan omgås, fordi sprogmodeller arbejder sandsynlighedsbaseret. Den mere robuste løsning er arkitektonisk: AI-assistenten skal slet ikke have mulighed for at udføre privilegerede ændringer uden en separat godkendelse .

Med andre ord bør en supportbot kunne forklare, hvad brugeren skal gøre – men ikke på egen hånd ændre en mailadresse, nulstille en adgangskode eller på anden måde ændre en kontos identitet.

Tilliden til automatiseret support står på spil

Meta-sagen rammer ind i en bredere udvikling, hvor virksomheder forsøger at erstatte dele af den menneskelige kundeservice med AI. Døgndækkende automatiseret support kan være effektiv, men den bliver en alvorlig risiko, hvis systemerne får adgang til følsomme funktioner uden tilsvarende stærk autorisation .

For platforme med milliarder af brugere er spørgsmålet derfor ikke kun, om en chatbot kan løse flere opgaver. Det er også, om den kan begrænses, når en bruger forsøger at få den til at gøre noget, vedkommende ikke har ret til.

Instagram-angrebene viser den potentielle pris ved at lade en samtale styre kontosikkerheden: Når en AI får nøglerne til identitetskritiske systemer, kan et velvalgt spørgsmål blive langt farligere end et gættet kodeord.