Κενό ασφαλείας στο Meta AI επέτρεψε σε χάκερ να υποκλέπτουν λογαριασμούς Instagram υψηλού προφίλ

Ένα ανησυχητικό κενό ασφαλείας ήρθε στο φως στο chatbot υποστήριξης που λειτουργεί με τεχνητή νοημοσύνη της Meta, οδηγώντας στην μη εξουσιοδοτημένη υποκλοπή αρκετών λογαριασμών Instagram υψηλού προφίλ. Η ευπάθεια δεν ήταν ένα εξελιγμένο τεχνικό χακάρισμα, αλλά μάλλον μια σημαντική παράλειψη στον τρόπο με τον οποίο η τεχνητή νοημοσύνη χειριζόταν τις αιτήσεις ανάκτησης λογαριασμού και επαλήθευσης. Οι επιτιθέμενοι ανακάλυψαν ότι μπορούσαν να χειραγωγήσουν το chatbot ώστε να πιστέψει ότι ήταν οι νόμιμοι κάτοχοι των λογαριασμών, απλώς παρέχοντας ελάχιστες και συχνά δημόσια διαθέσιμες πληροφορίες.

Αυτή η μέθοδος ουσιαστικά παρέκαμψε τα καθιερωμένα πρωτόκολλα ασφαλείας της Meta, συμπεριλαμβανομένης της επαλήθευσης δύο παραγόντων και άλλων ισχυρών ελέγχων ταυτότητας. Αντί να απαιτεί από τον νόμιμο κάτοχο να επιβεβαιώσει την ταυτότητά του μέσω επαληθευμένου email ή αριθμού τηλεφώνου, το chatbot τεχνητής νοημοσύνης, υπό ορισμένες συνθήκες, θα χορηγούσε πρόσβαση βάσει επιφανειακών ερωτημάτων. Αυτό υποδηλώνει μια σοβαρή αδυναμία στη λογική της τεχνητής νοημοσύνης και την ενσωμάτωσή της με την υποδομή ασφαλείας της Meta, επιτρέποντας μια μορφή κοινωνικής μηχανικής που εκμεταλλεύτηκε την εμπιστοσύνη της τεχνητής νοημοσύνης.

Οι συνέπειες ενός τέτοιου κενού είναι σημαντικές, ειδικά για δημόσια πρόσωπα, επιχειρήσεις και influencers των οποίων η διαδικτυακή παρουσία είναι κρίσιμη. Η μη εξουσιοδοτημένη πρόσβαση θα μπορούσε να οδηγήσει σε κλοπή ταυτότητας, βλάβη της φήμης, οικονομική απάτη και διάδοση παραπληροφόρησης από παραβιασμένους λογαριασμούς. Ενώ η Meta πιθανότατα ενήργησε γρήγορα για να διορθώσει αυτή τη συγκεκριμένη ευπάθεια, εγείρει ευρύτερα ερωτήματα σχετικά με την εξάρτηση από την τεχνητή νοημοσύνη για ευαίσθητες λειτουργίες ασφάλειας και υποστήριξης και την ανάγκη για αυστηρές δοκιμές έναντι επιθέσεων κοινωνικής μηχανικής. Υπογραμμίζει την εγγενή πρόκληση στο σχεδιασμό συστημάτων τεχνητής νοημοσύνης που είναι χρήσιμα για νόμιμους χρήστες χωρίς να γίνονται εκμεταλλεύσιμα από κακόβουλους παράγοντες που επιδιώκουν να παρακάμψουν τα μέτρα ασφαλείας μέσω έξυπνων, αλλά απλών, εντολών.