Meta 的 AI 客服机器人可重置任何人的 Instagram 密码。它运行了 44 天。

2026年6月1日，404 Media 和 KrebsOnSecurity 发布了在 Telegram 群组中流传的录音，录音显示 Meta 的 AI 账号恢复助手会为任何提出请求的人把一个新电子邮件地址附加到 Instagram 账号上，然后把密码重置邮件发送到该地址。攻击者只需要一个用户名和一句足以取信于人的话。一周内，Meta 在向缅因州总检察长提交的数据泄露通知中称，在 2026年4月17日至5月31日的时间窗口内，受影响账号达 20,225 个。据报道，Sephora 的品牌账号、美国太空军首席军士长以及研究员 Jane Manchun Wong 都在被劫持之列，其中数人被锁定数天，且没有人工客服可供申诉。完整记录及其来源和严重程度分级都收录在Orca AI Incident Archive中，该档案按日期、系统和故障类型对已发生的 AI 事件进行编目。

该档案将事件定为“严重”级别，确认涉及 AI 且造成实际损害，并将其归入间接提示注入和凭据滥用。下文将 Meta 公开表态的内容，与受害者、研究人员以及最初 72 小时报道中所指控的内容区分开来——因为在一个核心问题上，两者并不一致。

这次失败是因为缺少一道检查，而不是越狱。

据404 Media报道，Meta于2026年3月在Facebook和Instagram上全面推出该助手，并将其宣传为账户安全与恢复服务，号称提供“解决方案，而不只是建议”。在内部，它被称为High Touch Support，简称HTS：这是一个对话式智能体，旨在帮助那些无法通过静态恢复表单完成验证的锁定用户，并被授权将新的电子邮件地址与账户关联，以及向该地址触发密码重置。

Meta 最终描述的缺陷范围很窄，而且并不是模型决定要表现得乐于助人。在提交给缅因州总检察长办公室的一份数据泄露通知信中，Meta 负责事件响应法律事务的副总法律顾问 Amber Hannah 写道：“该工具本身工作正常，并按预期运行；然而，由于另一条独立代码路径中的缺陷，系统未能正确验证请求重置密码的个人所提供的电子邮件地址是否与该用户 Instagram 账户关联的电子邮件地址一致。”她补充说，当地址不匹配时，系统“错误地将密码重置链接发送到了那个未关联的电子邮箱，而不是拒绝该请求”。

实际上，KrebsOnSecurity 根据 Telegram 录音还原出的这一序列共有四个步骤：

• 攻击者通过 VPN 连接，所用地址位于目标所在地区或附近，以避开 Instagram 的位置检查。

• 他们针对某个用户名打开了恢复流程，并选择了 AI 支持助手。

• 他们让这个机器人绑定一个由他们控制的电子邮箱地址——其中一段录音的开头就是“只要绑定我的新邮箱地址”——随后机器人就把一次性验证码发到了那个邮箱。

他们输入了验证码，拿到了重置链接，修改了密码，而合法所有者就这样被挤了出去。

没有恶意软件，没有窃取密码，也没有钓鱼页面。Brian Krebs 指出，该技术从 5 月 31 日起通过 Telegram 频道传播，而发布该视频的亲伊朗账号还在那个周末篡改了一些被接管的个人资料。

44天，以及一个发生了变化的数字

这个窗口期是该记录中耗时最久才公开的部分。在给缅因州总检察长的通知中，Meta 表示其于 2026 年 5 月 31 日发现该漏洞，并于当天停用了 HTS。提交文件将泄露事件本身追溯至 4 月 17 日；BleepingComputer 报道称，这很可能是首次利用该漏洞的攻击。这意味着存在一条可未经身份验证写入 Instagram 账户身份字段的路径，持续了 44 天——云安全联盟的研究部门也将这一时长定为 44 天。

统计数字出现了两次变化。Meta 的申报文件称，可能有 20,225 个账户遭到潜在入侵，其中包括缅因州的 30 个，并将这一数字描述为上限，因为部分访问尝试可能来自合法的账户持有人。6 月 9 日，Android Authority 在报道《纽约时报》的一项调查时称，约有 34,000 名 Instagram 用户受到影响，约 20,000 个账户被入侵，另有数千人的用户名被更改或暂时失去访问权限。这一差异源于定义不同，而非相互矛盾：34,000 是受波及的账户总数，20,225 则是 Meta 愿意确认的被接管账户数量。Meta 的信中还表示，公司并不清楚在可能被访问的数据中，究竟哪些实际被查看了——这份清单涵盖联系方式、出生日期、帖子、私信、活动历史、个人资料信息以及关联的第三方服务。

修复声明与修复日期在公开层面也出现了脱节。6月1日，Meta传播副总裁安迪·斯通（Andy Stone）在X上表示，“确实发生过的问题已经修复”。6月2日，TechCrunch报道称，仍有用户声称账号被接管，Telegram频道成员仍在兜售被劫持的用户名——同时提醒说，并非每一起被举报的劫持事件都能归因于同一种手法。

双因素认证做了什么，以及早期报道称它做了什么

这正是记录与报告分道扬镳之处，值得把这一点说清楚。

Meta自己的说法很明确。汉娜的信中称，在密码重置之后，“如果账户持有人未启用双重身份验证（2FA），未经授权的一方就能登录该账户”。KrebsOnSecurity根据漏洞利用录像报道了同样的内容：该手法对启用了MFA的账户无效。云安全联盟的分析称2FA是“有效的限制性控制措施”，并指出恢复流程从未能访问2FA所管辖的身份验证层。漏洞出在登录大门旁边的恢复之门，而不是登录大门本身。

与此相对，最初几天大量受害者报告却给出了相反的说法。BleepingComputer 在6月2日援引用户的话坚称，他们的身份已通过面部扫描验证，并且已启用2FA；还援引一位名为 André 的用户称，该方法“绕过了2FA保护”。gHacks 在6月3日也报道了相同内容。该档案对这起事件的一行摘要也带有这一更强的说法，将机器人描述为绕过了双重认证。

Meta 尚未发布任何技术复盘，因此这一差异仍未得到解决，而非已有定论。可以确定的是，唯一一份第一方文件——由 Meta 自己的律师签署的备案文件——描述的是一次止步于未启用第二重认证账户的接管，而最接近漏洞利用录音的媒体也报道了相同内容。应把“机器人攻破了 2FA”视为一种说法，而非既定事实。

第二种被报道的机制属于同一类别。用户告诉 BleepingComputer 和 gHacks，恢复流程会接受自拍视频，而攻击者通过 AI 视频生成器将目标的公开照片制作成动画，从而通过验证。Meta 的提交文件以及 Krebs 对这些录音的重构均未提及该步骤。这可能是一条并行路径；公开记录并未证实这一点。

受害者，以及Meta所质疑的说法

已确认的账号集群是品牌、军方和研究人员账号的奇怪混合：丝芙兰的品牌账号、美国太空军的首席军士长 John Bentivegna，以及 Jane Manchun Wong——她自己的帖子记录了账号丢失的过程。BleepingComputer 还点名了单词用户名 @hey 和 @korn，并报道称 @korn 的所有者花了六个小时试图联系到真人，却从 Meta 的支持 AI 那里收到了四个失效链接。同一篇文章指出，关于单字母用户名 @e 和 @f 的说法无法被独立核实，有些人将其归因于一名内部人士。

一个被广泛重复提及的受害者存在争议。404 Media、KrebsOnSecurity 和 TechCrunch 均报道称，一个处于休眠状态的奥巴马白宫账号也在被夺取并短暂篡改的账号之列。据 BBC 报道，Meta 称有关领导人账户遭到入侵的说法“完全不实”，TechCrunch 则直接记录了该公司的异议。受害者名单中的其余所有内容都有报道作为依据；那一项则没有。

归因止于渠道，而非某个组织。报道证实，可用的漏洞利用操作说明和被劫持的用户名曾在 Telegram 群组中交易，一些被接管的账号曾被用于发布亲伊朗信息，而简短的“OG”用户名在灰色市场上的价值可达数万美元——Krebs 援引黑客的说法称，他们持有的这些用户名转售价值超过 $500,000。没有任何报道点名某个团体、指控任何人，或证实这场活动是由单一行动方运作的。该档案对一个有组织转售运作的描述与报道相符，但并非被引来源所能证明的事情。

之后发生了什么变化

根据提交文件中的描述以及向 BleepingComputer 作出的说明，Meta 的回应是禁用 HTS 工具、移除有故障的代码路径、使系统生成的所有密码重置链接失效，并将受影响账户置于强制安全检查点，要求通过已验证渠道进行重置。公司表示，在重新上线前，将修复 Instagram 恢复入口处的身份验证检查，以便在启动任何重置之前，将所提供的电子邮件与账户记录进行核验，并审查其其他平台上的类似恢复流程。

更广泛计划被暂停的范围比听起来要窄。《纽约时报》援引的内部文件显示，Meta 只暂停了与此次事件相关的特定 Instagram 密码找回实验，而更广泛的 AI 驱动支持计划仍保持不变，Android Authority 报道称。云安全联盟的说明更进一步，称 Meta 于 5 月 31 日禁用了该聊天机器人的自主电子邮件关联和密码重置功能；这一描述是该研究小组的说法，而非 Meta 的声明。

为什么它被归类为提示注入，以及为什么这个标签有争议

该档案将此次事件标记为 IPI——间接提示注入——与凭据滥用并列，而“混淆代理”这一表述是大多数分析人士最先想到的。但几位最接近此事的人拒绝接受“注入”这一标签。

Simon Willison 创造了“提示词注入”一词，他在 6 月 1 日写道：“Meta 确实把他们的支持系统接入了 AI 聊天机器人，而这个机器人有能力快进整个账户恢复流程。这甚至很难算作提示词感染。不要把你的支持机器人接入到允许一次性账户接管的地步！”云安全联盟以更正式的方式作出了同样的区分：该攻击不需要在文档或工具输出中隐藏任何对抗性内容，攻击者只是开口询问，因此尽管后果完全相同，它仍与经典的提示词注入属于不同的威胁模型。它对应 OWASP 的 LLM06:2025“过度代理”——过度的功能、过度的权限和过度的自主性，三者同时存在。

VentureBeat的解读更为直白，而且从运营层面看才是真正要紧的：从检测体系内部来看，这次攻击根本没有产生任何信号，因为该代理是经过授权的行为主体，它所进行的每一次写入都被记录为合法交易。"没有可供发现的立足点，因为代理本身就是那个立足点，而它本来就应该在那里。"

本记录未确立的内容

HTS 漏洞没有对应的 CVE，Meta 也未发布任何公开技术说明来描述该代码路径实际做了什么。20,225 这一数字是 Meta 给出的上限，而非经审计的计数，且该公司表示无法说明哪些数据被查看。实际被篡改、转售或被控制过任何时长的账户数量尚不清楚。尚未有人被起诉；截至本文所总结的公开记录，也没有监管机构发布针对此事件的调查结果。

已经确立的事实比头条新闻更不起眼，也更有用：一名客服人员被授予了对唯一决定谁拥有账户的字段的写入权限，而用于检查请求者是否拥有该账户的校验位于另一条代码路径中，并未运行，并且只需一句话就能让该客服人员绕过它。Meta 自己提交的文件称，该工具“运行正常，并按预期发挥作用”。这才是调查结论。缺陷在于它周围的架构。