Meta黑客事件表明，AI安全不止于Mythos

<div data-chronoton-summary="<ul><br><li><strong>令人震惊的简单黑客手段：</strong>攻击者利用Meta的AI客服代理，仅通过要求其将Instagram账户重新分配给攻击者控制的邮箱即可。无需复杂技巧——只需VPN和直接请求。</li><br><li><strong>AI是目标，而非武器：</strong>与对AI驱动网络攻击的担忧不同，此次入侵针对的是AI系统本身。专家表示，随着公司自动化账户恢复等敏感工作流程，这类攻击将越来越常见。</li><br><li><strong>急于讨好，容易欺骗：</strong>AI代理被设计为灵活完成任务——但同样的特性使其容易被操控，而人类则不会。一位研究人员将它们比作一个只想讨好老师的过度热心的学生。</li><br><li><strong>速度与安全之争：</strong>护栏和红队测试可以降低风险，但竞相部署强大代理的公司往往跳过仔细审查。专家警告，快速行动的压力正在使危险问题恶化。</li></ul>" data-chronoton-post-id="1138437" data-chronoton-expand-collapse="1" data-chronoton-analytics-enabled="1"></div> <p>6月5日，<em>404 Media</em> <a href="https://www.404media.co/hackers-simply-asked-meta-ai-to-give-them-access-to-high-profile-instagram-accounts-it-worked/">报道</a>称，攻击者一直在利用Meta的AI客服代理窃取Instagram账户。他们的方法很简单：要求代理将账户链接到他们控制的邮箱地址，代理照做了。一名攻击者侵入了休眠的奥巴马白宫账户并发布了亲伊朗的帖子；其他人则接管了有价值的单字用户名账户，可能是为了出售。</p> <p>AI网络安全担忧并不新鲜。自从Anthropic在4月宣布其Mythos模型过于擅长黑客攻击而无法向公众发布以来，评论员、研究人员和联邦官员都聚焦于一个想法：超级强大的AI系统可能摧毁我们的计算机基础设施。但这并非此次Instagram黑客事件的情况：在那里，AI是目标而非攻击者，而且方法远比Mythos能想出的任何手段简单。但随着公司将更多工作交给AI，这些相对简单的攻击可能会造成自己的破坏。</p> <p>“随着AI被越来越广泛地使用——特别是当AI被越来越多地用于自动化我们的工作流程（如账户恢复）时——我认为攻击者将越来越有动机攻击AI本身，”杜克大学电气与计算机工程教授Neil Gong说。</p> <p>Gong和其他学者一段时间以来一直在发出关于AI代理安全漏洞的警告。他们发表论文和博客文章，详细描述间接提示注入等利用手段，这种手段涉及使用隐藏在网站、电子邮件或其他看似无害的数据源中的命令来劫持代理。与这些技术相比，Meta黑客事件几乎是无脑的。黑客唯一需要克服的复杂性是使用与真实账户所有者位置匹配的VPN；然后他们直接要求支持代理更改账户的邮箱地址，代理就照做了。</p> <p>Meta尚未公开评论此漏洞是如何漏网的。但鉴于利用手段的简单性，Gong表示，在代理部署之前本应很容易被发现。“这真的很令人惊讶，”他说。“我不明白他们为什么没有发现这个简单的问题。”</p> <p>乔治城大学安全与新兴技术中心的高级研究分析师Jessica Ji表示同意。“这引发了问题：有没有设置护栏？”她说。“有人想过测试这种场景吗？”她指出，这种疏忽来自Meta这样在AI和网络安全方面都有丰富专业知识的公司尤为引人注目。Meta未回应本文的评论请求，但周一一名Meta发言人在X上表示该漏洞已被修复。</p> <p>尽管这可能是Meta特别尴尬的时刻，但它也突显了所有AI代理共有的一些核心漏洞。与传统软件不同，代理能够以灵活且意想不到的方式应对新情况，这就是为什么它们可能替代人类客服代理。但AI代理也可能以人类不会的方式被欺骗，并且因为它们可以采取实际行动，这些错误会带来后果。“人类会说，‘好的，你为什么想更改邮箱地址？’或许还会回答一个安全问题，”威斯康星大学麦迪逊分校计算机科学教授Somesh Jha说。“这些代理的问题是它们非常急于完成任务。几乎就像一个只想讨好老师的小学生。”</p> <div class="wp-block-group is-nowrap is-layout-flex wp-container-core-group-is-layout-6c531013 wp-block-group-is-layout-flex"> <p>有办法降低风险。公司可以使用传统软件构建护栏，确保代理遵循严格规则，例如在将敏感账户信息发送到新邮箱地址之前始终要求回答安全问题。本文咨询的专家都同意，代理应接受严格的红队测试，即开发人员尽最大努力攻击系统以在部署前发现其漏洞的过程。</p> </div> <p>但也存在反作用力。公司想要部署强大的代理，代理拥有的权力越大——受到的护栏约束越少——它可能承担的工作就越多。“安全性和实用性总是需要权衡，”伊利诺伊大学厄巴纳-香槟分校计算机科学教授Bo Li说。而充分的红队测试可能很昂贵。防御者必须比攻击者花费更多资源，因为攻击者只需要发现一个漏洞，而防御者试图发现并修补尽可能多的漏洞。当攻击者致力于夺取像单字Instagram用户名这样有价值的东西时，他们会投入资源寻找漏洞，因此防御者需要花费更多资金来保护该奖品。</p> <p>随着AI模型的不断改进，加强防御实际上可能变得更容易。尽管大语言模型的概率性质意味着LLM代理将始终容易受到某些形式的攻击，但更复杂的模型可能已经将更改奥巴马白宫账户关联邮箱的尝试识别为可疑。并且AI系统可用于代理红队测试，就像Anthropic的Project Glasswing参与者使用Mythos识别其软件漏洞一样。</p> <p>尽管如此，专家预计，保护AI代理的问题在未来只会变得更加紧迫。随着代理能力增强，采用它们的公司可能希望赋予它们更多权力，既是为了用更少的人力提供更多服务，也是为了不被竞争对手甩在后面。在快速发展的AI世界中，仔细保护有风险的代理系统所需的时间可能看起来是一种不可接受的延迟。</p> <p>“每个人都想成为第一个做某事的人，而不经过仔细审查和红队测试就将产品推出，”Jha说。“我认为这是一件非常危险的事情。”</p>