Transcript

創意每天聽 - 2026年6月1日 · 創意每天聽

0:00
昨天的創新案例，其實跟我最近在想的事情有點關係。你說，如果哪天我Instagram帳號被盜了，我通常會怎麼做？
0:14
通常你會試著透過綁定的Email或手機號碼，發送重設密碼連結。不然就是找客服，提供一些證明來確認身分。
0:27
對！但這次這個案例很出乎意料。駭客竟然是透過Meta自家的AI客服聊天機器人，在沒拿到我的Email、沒有釣魚連結，甚至沒有安裝任何惡意軟體的情況下，就成功重設密碼，把帳號劫走了。
0:49
這點確實讓人很不解。一般來說，我們對客服的預期是會多方驗證，尤其關係到帳號安全，更應該嚴謹。這個做法等於跳過了我們認知中所有安全環節。
1:06
我聽到這，就覺得這太不合理了。你不會覺得，這是個很奇怪的漏洞嗎？怎麼可能AI比人工客服還鬆散？
1:19
它的具體做法是這樣的：駭客先用VPN把自己偽裝成目標用戶的所在位置，這樣可以避開一些Instagram自動的帳號保護機制。
1:34
接著，他們就直接跟Meta AI客服助理聊天，直接提出要求，希望把一個新的Email地址加到目標帳號上。
1:47
然後呢？AI就這樣聽從了嗎？
1:51
對。這個AI聊天機器人就真的發送了一個驗證碼到駭客提供的Email地址。駭客收到碼後再回傳給機器人。
2:04
隨後，機器人竟然就顯示了一個「重設密碼」的按鈕，讓駭客輸入新密碼，然後就這樣輕易地取得了帳號的控制權。
2:17
整個過程都不需要用到原帳號的Email？這真的太荒謬了。TechCrunch還驗證了駭客公開的Email信箱確實收到了驗證碼。
2:33
是的。這個漏洞的根本問題在於，AI聊天機器人把跟它對話的人，直接當成了帳號的真正主人，而沒有任何額外的身份驗證步驟。
2:48
聽起來，被駭的帳號還不只一般人，連歐巴馬時期白宮的Instagram帳號，跟美國太空軍總士官長John Bentivegna的帳號都中招了。
3:06
對。資安研究員Jane Wong也表示她的帳號被盜，她說密碼在她不知情的情況下被更改，而且整天都收到不同的密碼重設嘗試，這讓她感到非常不安。
3:23
那從這個案例來看，如果我是創業者或主管，有什麼可以學到的？
3:31
這個事件提醒我們，在導入AI客服或任何自動化流程時，必須把資安和防濫用設計的重要性大幅提升。AI雖然帶來便利，但它可能存在的漏洞，會比傳統方式更隱蔽，破壞力也更大。
3:52
尤其像這次，它會因為「信任」跟你對話的人，而跳過關鍵的驗證步驟。這點在設計系統時，要特別警惕。
4:04
這讓我想到Salesforce的Agentforce客戶，他們都不太願意讓AI執行牽涉到金錢的操作。他們擔心AI會半夜突然退款一堆交易。
4:21
沒錯，Rebecca Wettemann這位分析師也說過，這種擔憂就是怕AI「半夜跑掉，退了一堆交易」。Meta這次給了AI重設密碼的權限，結果就發生了這種事。
4:41
那如果是一般上班族，這個概念可以怎麼運用到工作或生活中？
4:49
在工作上，當我們面對新的自動化工具或AI輔助系統時，不要盲目相信它的「聰明」。特別是涉及敏感資訊或高權限操作時，要多思考一層，有沒有可能被濫用？它的安全機制在哪？
5:09
在生活上，我們也常常會遇到一些系統，看似方便，但可能也犧牲了安全性。比如很多App的快速登入，雖然省了步驟，但背後的風險也要留意。
5:26
所以，就是即使是看似很新的技術，也要保持一種審慎的態度，思考它可能帶來的隱患，不能因為是新科技就完全信任。
5:39
可以這麼說。新科技在帶來效率的同時，也可能帶來前所未有的資安挑戰。建立正確的風險意識，這點其實不容易做到。
5:53
我覺得今天這個案例，真的讓人們理解，在擁抱新科技時，資安和防濫用設計的重要性，必須要大幅提升。