攻击流程在Telegram和X上流传的视频中被完整曝光，简单得令人不安：

1. 地理位置伪装：攻击者通过VPN将自己的IP地址伪装成目标账号所在地区，以绕过Instagram的自动区域防护。
2. 开启对话：攻击者打开Meta AI客服助手的聊天窗口，声称自己是账号的合法主人。
3. 更换邮箱：攻击者要求机器人将目标账号绑定到攻击者控制的邮箱。机器人照做了——它将验证码发送到了攻击者的收件箱，而没有向原账号的任何已知联系方式发出任何挑战。
4. 重置密码：攻击者利用新邮箱发起标准密码重置，收到重置链接后修改密码，将原主人彻底锁在门外。
5. 锁定与转售：攻击者随即为账号开启自己掌控的双因素认证，真正的用户再难找回。这些稀有的短昵称账号在暗网Telegram频道中售价高达50万美元一个。

正如一位安全评论者所说：这个AI客服机器人“一个问题都没问”。

Meta的回应：一个“已修复”的谜团

Meta公共传播副总裁Andy Stone于6月1日在X上发帖称：“此问题已得到解决，我们正在保护受影响的账号”。公司表示已在5月30–31日的周末推送了紧急补丁。

然而，随后的报道揭示了更多疑点：

• 架构问题未解决：核心缺陷——AI拥有对身份关键API的写入权限且无需任何带外验证——似乎并未被触及。安全界普遍认为，正确的做法是直接关停AI客服功能，直到重新设计出强制身份验证网关。
• UI补丁，而非API补丁：有开发者报告称，Meta仅仅移除了前端的“获取帮助”按钮，而底层的API端点仍然可以被直接调用，这意味着同样的对话攻击理论上依然可行。
• 持续的攻击报告：截至6月3日，TechCrunch报道Instagram正在向被攻击用户发送警报，但并未确认提示注入漏洞已全面封堵。
• 缺乏透明分析：Meta没有发布安全事后剖析报告，也未说明新增了哪些防护措施，这导致安全社区无法独立验证补丁的有效性。

这种不透明性是问题的核心：对于概率性、自适应的大语言模型来说，静态的安全补丁很难长久奏效——攻击者可能只需换个措辞就能绕过新的限制。

更大的图景：AI作为新的攻击面

这次Instagram账号劫持事件是网络安全史上的一个分水岭，它揭示了生成式AI时代即将面临的一系列新漏洞。

提示注入就是新的SQL注入。传统黑客攻击——凭证填充、钓鱼、数据库入侵——都需要一定程度的技术能力或预先获得的访问权限。这个攻击手段什么都不需要。一句精心构造的话就足以绕过所有传统安全控制。

验证缺口是设计缺陷，不是Bug。这个客服机器人完全没有“带外验证”机制：没有向原邮箱发送验证码、没有向信任设备推送确认、没有硬件密钥挑战。它直接相信了攻击者的说辞。教训很明确：任何部署在支持岗位并能执行账号变更操作的AI，必须拥有一种无论对话内容如何都无法绕过的、强制性的“人类在环”或密码学门控机制。

静态补丁不是解决方案。因为大语言模型是概率性的，固定的防护规则可以被测试、绕过和攻破。架构必须重新设计，使AI无论如何都不能执行敏感写入操作。权限的分离必须是绝对的：客服机器人可以提供信息，但绝不能改变密码、绑定邮箱或以任何方式修改用户身份。

对自动化客服的信任已被动摇。这一事件侵蚀了用户对AI驱动客服的信心——而正值各大公司争相用大语言模型取代人工客服之际。24/7全天自动化客服的诱惑很大，但若没有严格的授权边界，部署它就等于将平台的完整性置于存在性风险之中。对于管理着数十亿账号的公司来说，“快速行动，打破常规”可能会变成“快速行动，失去一切”。

攻击流程在Telegram和X上流传的视频中被完整曝光，简单得令人不安：

1. 地理位置伪装：攻击者通过VPN将自己的IP地址伪装成目标账号所在地区，以绕过Instagram的自动区域防护。
2. 开启对话：攻击者打开Meta AI客服助手的聊天窗口，声称自己是账号的合法主人。
3. 更换邮箱：攻击者要求机器人将目标账号绑定到攻击者控制的邮箱。机器人照做了——它将验证码发送到了攻击者的收件箱，而没有向原账号的任何已知联系方式发出任何挑战。
4. 重置密码：攻击者利用新邮箱发起标准密码重置，收到重置链接后修改密码，将原主人彻底锁在门外。
5. 锁定与转售：攻击者随即为账号开启自己掌控的双因素认证，真正的用户再难找回。这些稀有的短昵称账号在暗网Telegram频道中售价高达50万美元一个。

正如一位安全评论者所说：这个AI客服机器人“一个问题都没问”。

Meta的回应：一个“已修复”的谜团

Meta公共传播副总裁Andy Stone于6月1日在X上发帖称：“此问题已得到解决，我们正在保护受影响的账号”。公司表示已在5月30–31日的周末推送了紧急补丁。

然而，随后的报道揭示了更多疑点：

• 架构问题未解决：核心缺陷——AI拥有对身份关键API的写入权限且无需任何带外验证——似乎并未被触及。安全界普遍认为，正确的做法是直接关停AI客服功能，直到重新设计出强制身份验证网关。
• UI补丁，而非API补丁：有开发者报告称，Meta仅仅移除了前端的“获取帮助”按钮，而底层的API端点仍然可以被直接调用，这意味着同样的对话攻击理论上依然可行。
• 持续的攻击报告：截至6月3日，TechCrunch报道Instagram正在向被攻击用户发送警报，但并未确认提示注入漏洞已全面封堵。
• 缺乏透明分析：Meta没有发布安全事后剖析报告，也未说明新增了哪些防护措施，这导致安全社区无法独立验证补丁的有效性。

这种不透明性是问题的核心：对于概率性、自适应的大语言模型来说，静态的安全补丁很难长久奏效——攻击者可能只需换个措辞就能绕过新的限制。

更大的图景：AI作为新的攻击面

这次Instagram账号劫持事件是网络安全史上的一个分水岭，它揭示了生成式AI时代即将面临的一系列新漏洞。

提示注入就是新的SQL注入。传统黑客攻击——凭证填充、钓鱼、数据库入侵——都需要一定程度的技术能力或预先获得的访问权限。这个攻击手段什么都不需要。一句精心构造的话就足以绕过所有传统安全控制。

验证缺口是设计缺陷，不是Bug。这个客服机器人完全没有“带外验证”机制：没有向原邮箱发送验证码、没有向信任设备推送确认、没有硬件密钥挑战。它直接相信了攻击者的说辞。教训很明确：任何部署在支持岗位并能执行账号变更操作的AI，必须拥有一种无论对话内容如何都无法绕过的、强制性的“人类在环”或密码学门控机制。

静态补丁不是解决方案。因为大语言模型是概率性的，固定的防护规则可以被测试、绕过和攻破。架构必须重新设计，使AI无论如何都不能执行敏感写入操作。权限的分离必须是绝对的：客服机器人可以提供信息，但绝不能改变密码、绑定邮箱或以任何方式修改用户身份。

对自动化客服的信任已被动摇。这一事件侵蚀了用户对AI驱动客服的信心——而正值各大公司争相用大语言模型取代人工客服之际。24/7全天自动化客服的诱惑很大，但若没有严格的授权边界，部署它就等于将平台的完整性置于存在性风险之中。对于管理着数十亿账号的公司来说，“快速行动，打破常规”可能会变成“快速行动，失去一切”。