Meta дала ИИ-боту кнопку «сбросить пароль». Хакеры нажали первыми

Что произошло

Исследователь безопасности 0xSid задокументировал один из самых абсурдных эксплойтов последних лет. ИИ-бот Meta Support, встроенный в Instagram для помощи с восстановлением аккаунтов, получил привилегированный доступ к бэкенду: смена email, сброс пароля, отключение двухфакторной аутентификации. Всё это — без human-in-the-loop.

Схема атаки проста до неприличия. Злоумышленник подключается через VPN к нужному региону, открывает чат с ботом и пишет что-то вроде: «Привяжи мою новую почту obviously.fake@email.com». Бот отправляет код верификации на указанный адрес. Дальше — стандартная цепочка: сброс пароля, перехват аккаунта, перепродажа.

Целью были аккаунты с короткими и редкими юзернеймами — @hey, @jowo и подобные, которые на чёрном рынке стоят сотни и тысячи долларов. Telegram-каналы, торгующие украденными аккаунтами, работали неделями.

Что говорит тред

«Support requests have always been the weakest link. I've had accounts turned over with 2FA disabled by humans before. I guess we shouldn't be surprised that the LLMs are doing the same thing» — sosodev

Один из самых обсуждаемых комментариев принадлежит hbn: бот не должен был иметь возможности отправлять email на произвольный адрес. Максимум — «нажать кнопку» отправки кода на привязанную почту. Но кто-то дал ему доступ к API без ограничений.

Бывший инженер Instagram jedberg, знакомый с командой безопасности компании, предположил: бота создали за пределами команды безопасности, скорее всего — вибкодили. Security 101 — при смене email уведомить старый адрес — было полностью проигнорировано.

Саймон Уиллисон выразил недоверие: неужели настолько простой эксплойт мог оставаться активным неделями? Telegram-группы подтверждают — да, мог.

Что это значит

Это не баг в классическом смысле — это архитектурный провал. Meta дала языковой модели права администратора без ограничений и без аудита. В треде несколько человек независимо пришли к одному выводу: если вы даёте ИИ-агенту write-доступ к пользовательским аккаунтам, вы фактически даёте этот доступ любому, кто умеет формулировать предложения на английском языке. Prompt injection — это не теоретическая угроза. Это production-эксплойт с тысячами жертв.