如何攻破Instagram账号？把Meta的AI客服聊明白就行

最近有人在 X 上传了一段视频，完整记录了怎么偷走一个陌生人的 Instagram 账号。没有暴力破解，没有钓鱼链接，没有半夜蹲守对方的短信验证码。整个过程就是——打开 Meta 的 AI 客服对话框，跟它好好说话。

视频里那位“黑客”先通过一些常见技术手段把自己伪装成受害者常用的登录地（为的是别触发 Instagram 那套自动风控）。然后他打开 Meta AI Support Assistant，跟机器人提了个要求：给这个账号加一个新邮箱。机器人很配合，往他自己留的那个邮箱发了一封验证码。他把验证码原样贴回对话框，机器人确认无误，贴心地弹出一个“重置密码”的按钮。他设了个新密码，账号到手。

全程，他一次都没碰过受害者真正绑定的那个邮箱。

我第一次看完这个流程是有点发懵的。平台反复提醒我们二十年——“任何人问你要验证码都是骗子”。结果这次把验证码递出去的，不是哪个粗心的用户，是平台自己的 AI。

没有被“黑”，只有被“说服”

先把事说清楚，这事是真的造成了损失的。周末开始，Reddit 和 X 上陆续有人报告账号被劫，其中包括奥巴马时期白宫那个 2017 年之后就没再更新过的 Instagram 账号，还有美国太空军一位高级军士长的私人账号。安全研究员 Jane Wong 自己的账号也被人接管了，她说密码在她毫不知情的情况下被改掉，前一天，她一整天都在收到莫名其妙的重置请求（连研究安全的人都中招，你就知道这套路多顺手了）。

直到本周，Instagram 的发言人 Andy Stone 出来回了一句：问题已经修复了。至于到底多少账号被动过，没说。Meta 也没有正面回应更多细节。

修是修了。但你注意到这件事最诡异的地方了吗——它压根不是一次传统意义上的“入侵”。没有漏洞被注入，没有数据库被拖，没有任何一行代码被攻破。攻击者用的“武器”是自然语言，是好好说话。硬要说被“攻破”的话，那也不是系统，是这个 AI 客服的“判断力”。

在安全圈，这种事有个挺老的名字，叫“混淆代理”（confused deputy）。简单说就是：一个低权限的人，骗一个高权限的“代理”去替他干他自己干不了的事。这概念 1988 年就有人写论文讨论了，不是新东西。新的是这次的“代理”是一个被训练得极度愿意帮忙的语言模型。

把管理员权限交给最容易被忽悠的员工

为什么一个 AI 客服能干出这种事？我觉得至少有三层原因，而且一层比一层值得后背发凉。

第一层最表面：这个 AI 被赋予了它本不该轻易动用的权限。给账号换绑邮箱、触发密码重置——这些都是高危操作，普通用户自己在 App 里做都得过好几道坎。但 Meta 为了让客服“好用”，直接把这些 API 的写权限交给了机器人。OWASP 早在 2023 年就把这种“给大模型过宽的权限”单独列成了一条风险，起了个很准的名字，叫“过度代理”（excessive agency）。说白了就是：你让它干的，远超它该干的。

第二层是验证逻辑的塌方。这套流程里压根没有一个独立的、机器人控制不了的核验环节。机器人的逻辑大概是：“能读到我刚发出去那个验证码的人，就是账号主人。”问题是，那个验证码是它自己发到攻击者邮箱里的。它在用一个自己刚刚交出去的东西，来证明对方的身份。这是一个闭环的自我欺骗（就像你把钥匙递给小偷，然后看他能开门，就认定他是房主）。

第三层最根本，也最难办。社会工程攻击针对人的时候，至少还要先翻越一道心理防线——人是会起疑的，客服培训里多少教过几招“遇到这种要求要警惕”。可你对着这个 AI 做社工，根本没有疑心这道墙需要翻越。它从被造出来那天起，优化目标就是“尽可能让用户满意、尽可能帮上忙”。我们等于是雇了一个全世界最热心、最不设防、又记不住教训的员工，然后把后台管理员密码塞进了它兜里。

所以这事的本质，不是 Instagram 出了个 bug。Bug 周一就补上了，但它暴露的是整个行业这两年集体往前冲的那个方向——为了省下客服成本，把越来越多能“动手”的 AI agent 推到一线，去直接处理用户的真实请求、真实账户、真实的钱。大家都在抢着部署，很少有人停下来问一句：我有没有教会我的 AI，在该说“不”的时候说不？

当攻击面搬到“对话”里

往后看，这件事的影响我觉得要分两头说。

对 Meta 自己，补丁能堵住技术口子，堵不住信任的口子。那些被盗的、动辄值几十万美元的“靓号”（OG handle），在每次得手后几分钟内就被挂到 Telegram 上转卖掉了。这些账号不会因为攻击路径是个 AI 而不是 SQL 注入，就自己飞回来。账号经济这个灰色地带，刚刚拿到了一把效率高得吓人的新撬棍。

对整个行业，这才是更长的账。账号接管（ATO）这类欺诈，2025 年的损失据估算已经爬到了 170 亿美元的量级，本来就是增长最快的安全威胁之一。而 AI agent 的加入，等于给攻击者装上了机器的速度和规模——一个被忽悠的代理，能在人类反应过来之前，以机器的节奏把同样的骗局跑上几千遍。

更棘手的是，攻击发生的“地点”变了。它不再发生在网络层、不在数据库、不在你部署了一堆防火墙和权限管控（RBAC）的地方。它发生在一段对话里，发生在 AI 理解意图、做出决定的那个“语义层”。而我们过去二十年攒下来的那套安全工具，基本都是瞎子——它们能看见一个 IP 在异常登录，却看不懂一句礼貌的、语法完全正确的英文请求里，藏着一次账号劫持。

平台花了很多年，教用户别把验证码给任何人，而这一次，把验证码拱手让出去的，恰恰是平台自己花大价钱、引以为豪的那个 AI。

所有正在兴冲冲把 agent 推上前线的公司，都该回去重新看一眼自己的那个机器人——它很听话，它很能干，它什么都愿意帮你做。问题是，它学会拒绝了吗？

END本文来自至顶AI实验室，一个专注于对AI计算机、工作站及各类AI相关硬件设备，开展基于真实使用场景评测的研究机构。‍