‏دستیار هوش مصنوعی متا اکانت لو می‌داد

گزارش‌ها نشون می‌دن یه باگ امنیتی باعث شده هکرها دستیار پشتیبانی هوش مصنوعی متا روی اینستاگرام رو گول بزنن تا کنترل اکانت کاربرها رو بدون احرازهویت تحویل بده، حتی وقتی احرازهویت دومرحله‌ای (2FA) فعاله. این یه نمونه‌ی کلاسیک از prompt injection هست: جایی که ورودی متنیِ کاربر، رفتار مدل هوش مصنوعی رو طوری منحرف می‌کنه که کاری بر خلاف سیاست امنیتی انجام بده.

مکانیزم حمله ساده‌ست. مهاجم اول با یه VPN که با موقعیت جغرافیایی قربانی می‌خونه وصل می‌شه، بعد به دستیار یه پیام می‌فرسته که خودش رو صاحب اکانت جا می‌زنه و ادعا می‌کنه می‌خواد یه ایمیل جدید به اکانت لینک کنه و کد تأیید رو می‌فرسته. دستیار هم با خوشحالی لینک ریست پسورد رو مستقیم به ایمیل مهاجم می‌فرسته. نکته‌ی خطرناک اینجاست که هیچ تأیید واقعی هویتی پشت این درخواست نیست.

به‌نظر می‌رسه همین روش برای هک اکانت غیرفعال کاخ سفید دوران اوباما استفاده شده. این صفحه از ژانویه ۲۰۱۷ پستی نذاشته بود، ولی هکرها یه تصویر عجیب روش آپلود کردن. Neowin متوجه شده این اکسپلویت ماه‌ها توی طبیعت فعال بوده، تا فوریه‌ی امسال عقب می‌ره، و هزاران اکانت رو درگیر کرده. حتی یه پژوهشگر معروف اپلیکیشن‌ها هم شکایت کرده که اکانتش تصاحب شده.

متا دستیار هوش مصنوعی‌ش رو یه ابزار متمرکز و شخصی‌سازی‌شده توصیف می‌کنه که ۲۴ ساعته در دسترسه و برخلاف راه‌حل‌های سنتی مرکز پشتیبانی، می‌تونه مستقیم داخل اپلیکیشن «براتون کاری انجام بده». همین قابلیت «انجام دادن کار» دقیقاً همون چیزیه که این حمله رو خطرناک می‌کنه: وقتی مدل هوش مصنوعی اجازه‌ی اقدام واقعی داره، یه پیام گول‌زننده می‌تونه به اقدام واقعیِ مخرب تبدیل بشه.

این ماجرا توی بستر تلاش پرشتاب متا برای فرو کردن هوش مصنوعی مولد توی همه‌ی پلتفرم‌هاش اتفاق افتاده. مهندس‌ها به‌تازگی نوار جستجوی سنتی فیسبوک و اینستاگرام و واتساپ رو با یه پرامپت «از Meta AI بپرس» جایگزین کردن. متا همچنین بیش از ۸۰۰۰ نفر رو اخراج کرده و گفته ابزارهای هوش مصنوعی تیم‌های بزرگ رو غیرضروری کردن و از این به بعد ایجنت‌های خودکار پشتیبانی کاربرها رو انجام می‌دن، که همین خودش این جور باگ‌ها رو پرریسک‌تر می‌کنه. به‌نظر می‌رسه الان دیگه وصله شده.

نکات کلیدی:

• یه prompt injection ساده دستیار هوش مصنوعی متا رو وادار می‌کرد لینک ریست پسورد رو به مهاجم بفرسته
• حمله حتی با ۲FA فعال هم کار می‌کرد، چون پشت درخواست تأیید هویت واقعی نبود
• اکسپلویت ماه‌ها فعال بوده و هزاران اکانت از جمله اکانت قدیمی کاخ سفید رو گرفته
• خطر از اونجا می‌آد که دستیار اجازه‌ی «اقدام واقعی» داخل اپ رو داره