Un grave problema di sicurezza ha colpito Meta: il suo chatbot di supporto basato su intelligenza artificiale è stato sfruttato dagli hacker per prendere il controllo di account Instagram molto preziosi. L’exploit, definito “scioccantemente semplice”, circolava da mesi in gruppi Telegram frequentati da criminali informatici e ricercatori di sicurezza.

Come funzionava l’attacco

Secondo 404 Media, i criminali dovevano solo:

• usare una VPN per simulare la posizione geografica dell’account bersaglio
• avviare la procedura di reset della password
• chiedere al chatbot AI di Meta di cambiare l’email associata all’account

Una classica prompt injection: l’AI, ingannata da una richiesta formulata ad arte, eseguiva un’operazione critica senza verificare l’identità del richiedente.

L’exploit ha permesso di sottrarre e rivendere account dal valore altissimo — anche centinaia di migliaia di dollari — prima che Meta applicasse una patch d’emergenza il 29 maggio. Tra gli account temporaneamente compromessi figurano anche profili istituzionali.

Un problema noto da mesi

Sembra che la vulnerabilità fosse attiva da febbraio, con migliaia di utenti messi sotto scacco. La vicenda è esplosa solo quando sono stati colpiti profili molto visibili.

Il ricercatore con lo pseudonimo ZachXBT ha denunciato su X come il supporto AI di Meta sia assolutamente inadeguato e disponga di permessi eccessivi, consentendo reset password senza autenticazione a 2 fattori e senza verifiche sull’identità dell’utente. Anche Dark Web Informer ha confermato l’exploit, precisando che Meta lo ha corretto solo di recente.

Il problema tecnico: un “confused deputy” alimentato da un LLM

CyberSec Guru ha descritto l’exploit come un classico caso di confused deputy: un sistema con privilegi elevati viene indotto a usarli a vantaggio di un attore non autorizzato. La differenza, questa volta, è che il “deputy” non era un software deterministico (con regole rigide), ma un modello linguistico manipolabile tramite testo.

Nonostante la gravità del bug, gli hacker hanno riferito che l’attacco falliva contro qualsiasi account con autenticazione multifattore attiva — persino la versione più debole via SMS. Un dettaglio che ribadisce quanto la MFA resti una delle difese più efficaci contro il furto di account.

Il rischio più grande: AI con permessi troppo ampi

L’incidente mette in luce un problema più ampio: la corsa delle aziende a implementare agenti AI con permessi elevati, capaci di modificare dati sensibili senza adeguati controlli.

Meta aveva lanciato il suo assistente AI di supporto nel marzo 2026, promettendo assistenza affidabile 24/7. Ma secondo CyberSec Guru, un’architettura sicura dovrebbe includere almeno:

• verifiche esterne prima di modifiche critiche
• rate limiting basato sul rischio
• log dettagliati con rilevamento anomalie
• un “gate” deterministico che impedisca all’AI di agire senza controllo