Meta 的 AI 支援機器人竟能重設任何人的 Instagram 密碼。它持續運作了 44 天。

2026年6月1日，404 Media 與 KrebsOnSecurity 公布了在 Telegram 群組中流傳的錄音，顯示 Meta 的 AI 帳號復原助理會為任何提出要求的人，將新的電子郵件地址附加到 Instagram 帳號，然後把密碼重設寄到該地址。攻擊者只需要一個使用者名稱和一句有說服力的話。不到一週，在向緬因州檢察長提交的資料外洩通知中，Meta 將暴露範圍估計為 2026 年 4 月 17 日至 5 月 31 日期間的 20,225 個帳號。Sephora 的品牌帳號、美國太空軍首席士官長以及研究員 Jane Manchun Wong 都在據報遭駭之列，其中數人遭鎖定數日，且沒有真人客服可以申訴。完整紀錄連同其來源與嚴重程度分級，收錄於 Orca AI Incident Archive，該資料庫按日期、系統與故障類型編目已發生的 AI 事件。

該檔案將此事件評為嚴重，已確認 AI 涉入並造成實際傷害，並將其歸入間接提示注入與憑證濫用。以下內容區分 Meta 的公開表態與受害者、研究人員及最初 72 小時報導所聲稱的說法——因為在一個核心點上，兩者並不一致。

這次失敗是缺少檢查所致，而不是越獄。

根據 404 Media 報導，Meta 於 2026 年 3 月在 Facebook 和 Instagram 全面推出這款助理，並將其宣傳為帳號安全與復原功能，提供「解決方案，而不只是建議」。內部稱之為 High Touch Support，或 HTS：這是一款對話式代理，旨在協助無法透過靜態復原表單完成流程的遭鎖定使用者，並獲授權將新的電子郵件地址與帳號建立關聯，以及向該地址觸發密碼重設。

Meta 最終描述的缺陷範圍很窄，而且並不是模型自行決定要提供協助。在提交給緬因州總檢察長辦公室的資料外洩通知函中，Meta 負責事件應變法律的副總法律顧問 Amber Hannah 寫道：「工具本身運作正常，且功能符合預期；然而，由於另一條程式碼路徑中的錯誤，系統未能正確驗證要求重設密碼者所提供的電子郵件地址，是否與該使用者 Instagram 帳號相關聯的電子郵件地址相符。」她補充說，當地址不符時，系統「錯誤地將密碼重設連結寄到該未關聯的電子郵件，而不是拒絕該請求」。

實際上，KrebsOnSecurity 根據 Telegram 錄音重建的序列分為四個步驟：

• 攻擊者透過 VPN 連線，所用位址位於目標所在區域或其鄰近地區，以通過 Instagram 的位置檢查。

• 他們針對某個使用者名稱開啟了復原流程，並選擇了 AI 支援助理。

• 他們讓該機器人綁定一個由他們掌控的電子郵件地址——其中一段錄音開頭是「就綁定我的新電子郵件地址」——機器人便把一次性驗證碼寄到該地址。

• 他們輸入了驗證碼，取得重設連結，更改了密碼，而合法擁有者就這樣被踢了出去。

沒有惡意軟體、沒有遭竊的密碼、沒有釣魚頁面。Brian Krebs 指出，該手法自 5 月 31 日起透過 Telegram 頻道散布，而發布該影片的親伊朗帳號也在那個週末篡改了一些被奪取的個人檔案。

44天，以及一個變動的數字

這段期間是整份紀錄中最晚才公開的部分。Meta 在給緬因州檢察總長的通知中表示，該公司於 2026 年 5 月 31 日發現此漏洞，並於當天停用 HTS。申報文件將入侵事件本身定在 4 月 17 日；BleepingComputer 報導，這很可能是首起利用該漏洞的攻擊。這意味著存在一條未經認證的寫入路徑，可進入 Instagram 的帳號身分欄位，為期 44 天；Cloud Security Alliance 的研究部門也同樣估計為 44 天。

這個數字變動了兩次。Meta 的申報文件指出，有 20,225 個帳號可能遭入侵，其中包括緬因州的 30 個；該公司將這個數字描述為上限，因為部分存取嘗試可能來自合法帳號持有人。6 月 9 日，Android Authority 在報導《紐約時報》的一項調查時表示，約有 34,000 名 Instagram 使用者受到影響，約 20,000 個帳號遭入侵，另有數千個帳號的使用者名稱遭更改或暫時無法存取。差異在於定義，而非矛盾：34,000 是受觸及的帳號總數，20,225 是 Meta 願意認證的遭接管帳號數。Meta 的信中也表示，該公司不知道可能可存取的資料中，哪些實際上被查看過——這份清單涵蓋聯絡資料、出生日期、貼文、私訊、活動紀錄、個人檔案資訊及連結的第三方服務。

修補主張與修補日期在公開場合也逐漸脫節。6月1日，Meta通訊副總裁Andy Stone在X上表示，「確實發生的問題已經修復」。6月2日，TechCrunch報導指出，仍有使用者聲稱帳號遭接管，Telegram頻道成員也仍在宣傳出售被劫持的帳號名稱——同時提醒，並非每一起通報的劫持事件都能歸因於同一種手法。

雙因素驗證做了什麼，以及早期報導說它做了什麼

這正是紀錄與報導分道揚鑣之處，而這一點值得精確說明。

Meta 自身的說法已明確說明。Hannah 的信件指出，在密碼重設之後，「若帳號持有人未啟用雙重驗證（2FA），未經授權的一方即可登入該帳號。」KrebsOnSecurity 從攻擊錄影中報導了相同情況：這項手法對已啟用多因素驗證（MFA）的帳號並未奏效。雲端安全聯盟（Cloud Security Alliance）的分析稱 2FA 是「有效的限制性控制措施」，並指出該復原流程從未取得 2FA 所管轄之驗證層的存取權。漏洞在於登入大門旁的復原之門，而非登入大門本身。

與此相反，最初幾天湧現的一波受害者報告則說法完全相反。{{1}}BleepingComputer{{/1}}在6月2日引述用戶堅稱自己的身分已透過臉部掃描驗證，且已啟用雙重驗證，並引述一名用戶André表示，該手法「繞過了雙重驗證保護」。{{2}}gHacks{{/2}}在6月3日也報導了相同內容。該檔案庫對這起事件的單行摘要同樣帶有更強烈的說法，將該機器人描述為能繞過雙重驗證。

Meta 並未發布任何技術事後檢討報告，因此這項出入仍未釐清，而非已有定論。可以確定的是，唯一的第一方文件——由 Meta 自家律師簽署的申報文件——描述的是一場帳號接管行動，且止於未啟用第二因素的帳號；而最接近該漏洞利用錄影的媒體也報導了相同說法。應把「該機器人攻破了 2FA」視為一項主張，而非既定事實。

另一個被報導的機制也屬於同一類別。使用者向 BleepingComputer 和 gHacks 表示，驗證流程會接受自拍影片，而攻擊者透過 AI 影片生成器，將目標對象的公開照片製作成動態影像，藉此通過驗證。Meta 的申報文件與 Krebs 對這些錄音的還原，均未提及這一步驟。這可能是另一條並行的途徑；但公開紀錄並未證實此事。

受害者，以及 Meta 所質疑的說法

已確認的這組帳號是品牌、軍方與研究人員帳號的奇特組合：Sephora 的品牌帳號、美國太空軍首席軍士長 John Bentivegna，以及 Jane Manchun Wong，她自己的貼文記錄了帳號遺失的過程。BleepingComputer 也點名了單字帳號 @hey 和 @korn，並報導 @korn 的擁有者花了六小時試圖聯絡到真人，卻收到 Meta 支援 AI 提供的四個失效連結。同一篇文章指出，關於單字母帳號 @e 和 @f 的說法無法獨立核實，有些人反而將其歸因於內部人士。

有一個被廣泛轉述的受害者說法存在爭議。404 Media、KrebsOnSecurity 和 TechCrunch 都報導，一個閒置的歐巴馬白宮帳號也在被奪取的帳號之列，並曾短暫遭到塗改。根據 BBC 的說法，Meta 稱領導人帳號遭入侵的說法「完全錯誤」，而 TechCrunch 直接記錄了該公司的異議。受害者名單中的其餘部分都依據報導成立；那一個則不然。

歸因止於頻道，而非組織。報導確立了可用的漏洞利用指令與被劫持的使用者名稱曾在 Telegram 群組中交易，部分被接管的帳號曾被用於親伊朗的訊息傳播，而簡短的「OG」使用者名稱在灰色市場上具有數萬美元的價值——Krebs 引述駭客聲稱，他們持有的這些名稱轉售價值超過 50 萬美元。沒有任何報導指名某個團體、指控任何人，或確立這場行動是由單一組織運作。該檔案對有組織轉售行動的描述與報導一致，但並非引用來源所能證明的事。

之後有什麼改變？

根據申報文件及向 BleepingComputer 所述，Meta 的回應是停用 HTS 工具、移除有問題的程式碼路徑、使系統已產生的每個密碼重設連結失效，並將受影響帳戶置於強制安全檢查點，要求透過已驗證的管道進行重設。該公司表示，在重新啟用前，會修正 Instagram 復原入口點的身分驗證檢查，確保在啟動任何重設之前，先將所提供的電子郵件與帳戶紀錄進行驗證，並會檢視其他平台上的類似復原流程。

更廣泛計畫究竟有多少被暫停，其實比聽起來更有限。據 Android Authority 報導，《紐約時報》引述的內部文件顯示，Meta 只暫停了與該事件相關的特定 Instagram 密碼復原實驗，而更廣泛的 AI 驅動支援計畫仍維持不變。雲端安全聯盟的說明則更進一步，指出 Meta 已於 5 月 31 日停用該聊天機器人的自主電子郵件關聯與密碼重設功能；此一描述是該研究團體的說法，並非 Meta 的聲明。

為什麼它被歸類為提示注入，以及為什麼這個標籤有爭議

檔案庫將這起事件標記為 IPI——間接提示注入——與憑證濫用並列，而「混淆代理」這個框架是多數分析師最先想到的說法。但幾位最接近內情的人不願接受「注入」這個標籤。

提出「提示注入」（prompt injection）一詞的 Simon Willison 於 6 月 1 日寫道：「Meta 真的把他們的客服系統接進了一個能夠快速通關整個帳號復原流程的 AI 聊天機器人。這起事件甚至稱不上是提示感染（prompt infection）。千萬別把你的客服機器人接線到可以讓人一次性接管帳號的地步！」雲端安全聯盟（Cloud Security Alliance）以更正式的說法作出同樣的區分：該攻擊不需要在文件或工具輸出中藏匿任何對抗性內容，攻擊者只要開口要求即可，因此儘管後果完全相同，它與典型的提示注入屬於不同的威脅模型。其對應的是 OWASP 的 LLM06:2025「過度代理權限」（Excessive Agency）——過度的功能、過度的權限與過度的自主性，三者同時具備。

VentureBeat 的解讀更直白，而且在營運層面才是關鍵：從偵測堆疊內部來看，這起攻擊完全沒有產生任何訊號，因為該代理程式是獲授權的行為者，而它所做的每一次寫入都記錄為合法交易。「沒有可尋找的立足點，因為代理程式本身就是立足點，而且它本來就該在那裡。」

本紀錄未能確立之事項

HTS 漏洞沒有對應的 CVE，Meta 也未發布任何技術文章說明該程式碼路徑實際做了什麼。20,225 這個數字是 Meta 的上限估計，並非經稽核的計數；該公司表示，它無法說明有哪些資料曾被查看。實際遭竄改、轉售或被控制過（無論時間長短）的帳號數量仍未知。尚未有人被起訴；截至本文所摘要的公開紀錄，也沒有監管機構發布針對這起事件的具體調查結果。

已確立的事實比新聞標題所呈現的更微小，卻更有用：一名客服人員被授予寫入權限，可存取決定帳號歸屬的那一個欄位；用來驗證請求者是否擁有該帳號的檢查位於不同的程式碼路徑，因此並未執行；而且只要一句話，就能讓該客服人員繞過這項檢查。Meta 自己的申報文件稱，該工具「運作正常，且按預期發揮作用」。這就是調查結論。問題出在圍繞它的架構。