Meta AI miała ułatwić użytkownikom rozwiązywanie problemów z kontami Facebookua Instagram. Zamiast tego, przez kilka miesięcy stał się nieoczekiwanym pomocnikiem hakerów. Według ekspertów ds. bezpieczeństwa, luka w zabezpieczeniach nowego asystenta AI Meta umożliwiła stosunkowo łatwe przejęcie kontroli nad kontami innych osób na Instagramie – w tym nad kilkoma bardzo znanymi profilami.
Może cię zainteresować
Meta AI zmieniła adres e-mail bez weryfikacji tożsamości
Meta wprowadziła swojego asystenta obsługi klienta opartego na sztucznej inteligencji w grudniu ubiegłego roku. Celem było zapewnienie całodobowego wsparcia bez konieczności oczekiwania na konsultanta. Umożliwiał on użytkownikom zgłaszanie oszustw, rozwiązywanie problemów z usuniętymi treściami lub przywracanie dostępu do kont. Jednak to ta ostatnia funkcja okazała się problematyczna. Według doniesień, które pojawiły się w mediach społecznościowych w weekend, chatBot w niektórych przypadkach zmieniał adres e-mail powiązany z kontem na Instagramie praktycznie bez dokładnej weryfikacji jego własności. Atakujący mógł wówczas poprosić o zresetowanie hasła i przejąć kontrolę nad kontem. W internecie można znaleźć również przykłady całego procesu. Wystarczyło poprosić asystenta AI o zmianę adresu e-mail kontaktowego dla konkretnego konta, a system bez większych przeszkód zatwierdził prośbę.
Sieci VPN i selfie stworzone przez sztuczną inteligencję
Najwięcej krytyki dotyczy sposobu, w jaki Meta weryfikowała tożsamość użytkowników. Według dostępnych informacji, lokalizacja urządzenia odgrywała znaczącą rolę. Wystarczyło połączyć się przez serwer VPN znajdujący się w pobliżu miejsca pobytu prawdziwego właściciela konta, aby system mógł odnieść wrażenie, że dostęp jest legalny. Meta podkreślała w swoich materiałach, że jej systemy rozpoznają urządzenia i znane lokalizacje użytkowników lepiej niż kiedykolwiek wcześniej. Jednak w praktyce okazało się, że sama geolokalizacja jako czynnik bezpieczeństwa nestW niektórych przypadkach system wymagał weryfikacji za pomocą zdjęcia selfie, ale mogło to nie stanowić przeszkody. Badacze bezpieczeństwa ostrzegają, że atakujący byli w stanie ominąć ten krok, korzystając z narzędzi generatywnej sztucznej inteligencji.
Może cię zainteresować
Czarny rynek przynosił zyski
Eksperci ds. bezpieczeństwa twierdzą, że luka nie była zupełnie nowa. Według 404 Media, grupy hakerskie wiedziały o niej od marca. Jednak zaczęła się ona publicznie rozprzestrzeniać na masową skalę dopiero w ostatni weekend maja. Jeden z badaczy stwierdził, że grupy na Telegramie specjalizujące się w sprzedaży Konta na Instagramie Dzięki temu błędowi zarobili znaczne sumy pieniędzy. Liczba przejętych kont znacząco wzrosła w krótkim czasie. Wśród potwierdzonych ofiar znajdują się konta firmy kosmetycznej Sephora, zarchiwizowane konto Białego Domu z czasów prezydenta Baracka Obamy oraz profil programisty Alberta Renshawa, który posiadał bardzo cenną nazwę użytkownika @albert. Ekspert ds. bezpieczeństwa również poinformował o przejęciu kont. Jane Manchun Wong
Meta naprawiła problem
Meta zareagowała dość szybko. Według oświadczenia, błąd został naprawiony w weekend, a wiceprezes ds. komunikacji Andy St.one Firma potwierdziła później, że luka została już naprawiona. Firma poinformowała również, że pracuje nad zabezpieczeniem kont, które mogły zostać dotknięte atakiem. Jednak cała sprawa ponownie otworzyła debatę na temat tego, jak wrażliwe procesy można powierzyć sztucznej inteligencji bez wystarczających zabezpieczeń. Co ironiczne, niektórzy użytkownicy, których konta zostały skradzione za pośrednictwem Asystent AI, później odkrył, że to samo chatBot nie mógł im pomóc w jego odzyskaniu. Co więcej, często nie mieli możliwości skontaktowania się z pracownikiem pomocy technicznej.
Fotogaleria
Sztuczna inteligencja nie zastąpi bezpieczeństwa
Przypadek ten pokazuje, że automatyzacja obsługi klienta może być bardzo użyteczna, ale tylko wtedy, gdy towarzyszy jej konsekwentna weryfikacja tożsamości. Zmiana adresu e-mail czy resetowanie hasła należą do najbardziej wrażliwych operacji, które mogą zadecydować o tym, czy użytkownik utraci konto. Pro Dlatego dla przeciętnych użytkowników nadal ważne jest stosowanie silnych haseł, uwierzytelniania wieloskładnikowego i regularne sprawdzanie danych kontaktowych powiązanych z ich kontem. Nawet nowoczesna sztuczna inteligencja nie jest w stanie zastąpić podstawowych zasad bezpieczeństwa – a ten incydent jest tego doskonałym dowodem.
