77
創新點：駭客利用Meta自家AI客服聊天機器人的權限漏洞，不用釣魚、不用惡意軟體，直接重設Instagram密碼并劫持帳號，揭露AI輔助系統資安反常識。
帳號被駭，你會想到什麼？是釣魚信？還是奇怪的登錄通知？上週Instagram卻出了個從沒想過的新劇本：駭客連受害者的Email都不需要進去，只靠Meta自己的AI客服，輕輕鬆鬆重設密碼、拿下帳號。受害的不只一般用戶，連前白宮官方帳號、美國太空軍高層也中招。到底發生了什麼？
案例解析：沒有釣魚信，沒有木馬，只有一個「很聽話」的AI客服
這波攻擊不是靠你掉以輕心點了奇怪連結，也不是惡意軟體作怪——駭客直接向Meta AI Support Assistant開口。
- 駭客只要用VPN換個地點，避開地區防護機制。
- 和Meta的AI客服聊幾句，就「要求」把自己的Email加到目標帳號。
- 當下系統會發一組驗證碼到駭客的信箱。
- 駭客把這碼回傳給客服後，AI立刻顯示「重設密碼」的選項。
- 輸入新密碼，帳號就啟動「洗牌模式」——掌控權直接在駭客手上。
過程不到幾分鐘，受害用戶的原信箱完全沒收到通知，帳號就換主了。資安研究員、自稱被害者Jane Wong說得很直白：「我的密碼直接被換掉，過程我一點都不知道，一堆重設碼往我收件夾灌。」不只她，公共帳號、名人，Reddit和X都開始出現同款受害討論。事後Instagram表示漏洞已修補，但究竟多少帳號被奪，連Meta自己都答不出來。
洞察啟示：AI自動化≠資安，省人力的同時可能打開更大安全後門
這起案例完全顛覆「AI自動客服＝更安全」的常識。原本AI用來減少真人客服、加快回應速度，卻忽略了一個要命的資安基本功——身份驗證。真人客服（正常狀況下）會要求多重驗證，甚至和你通話交叉確認；AI則是只要你喊得出需求、流程對了，系統就自動執行，不問你是不是本人。
這種「太聽話」觸發了一個新型態風險：AI權限設計不當，一鍵放行給駭客的可能性爆增，且用戶跟品牌都渾然不知。更驚人的是，被害者甚至沒有任何異常活動的徵兆可以提前警覺。你以為的科技加速，其實也可能是安全退步。
行動展示：三個給創業者與主管必須馬上做的資安＋AI檢查清單
- 不要讓AI有關鍵帳號操作權限沒配套：設定自動流程時，一定要加入額外的驗證程序。AI不該取代所有身份驗證，關鍵動作最好要求人工審批或多重驗證。
- 定期白帽檢測你們的AI客服：找資安專家從「濫用」角度測試AI客服。不只測回應速度，更看權限、驗證、日誌能不能補齊。
- 即時異常警報＋用戶通知機制：任何異常動作，立刻通知用戶（不管流程多繁瑣）與內部資安團隊，避免攸關客戶名譽與信任的災難。
結語
AI可以讓效率提升翻倍，但如果疏忽了身份與權限控管，帳號丟失的速度會比你能意識到的還要快。你敢讓AI全權管理你的客戶資料以及帳號嗎？