5월 29일 금요일 저녁, 오바마 전 대통령 공식 인스타그램 페이지, 미 우주군 주임원사 계정, 세포라 공식 계정이 연달아 해킹됐다. 공격자들이 사용한 도구는 Meta가 직접 만든 AI 고객지원 챗봇이었다. 공격 방법은 기술적으로 복잡하지 않았다. VPN으로 피해자와 같은 지역에 접속해 비밀번호 재설정을 시작한 뒤, 챗봇에게 이메일 주소를 바꿔달라고 요청하면서 "확인 코드는 바로 드릴게요"라고 말했다. 봇은 공격자의 이메일 주소로 8자리 확인 코드와 비밀번호 재설정 링크를 보냈다. 2단계 인증은 작동하지 않았고, 원래 이메일로의 확인도 없었다. 자동 신원 확인이 걸린 경우에는 피해자의 공개 인스타그램 사진을 AI 영상 생성기에 돌려 만든 셀피 클립으로 통과했다.
보안 연구자들은 이를 "confused deputy 공격"의 교과서 사례로 분류한다. Meta의 AI 어시스턴트는 일반 사용자가 직접 실행할 수 없는 권한—이메일 바인딩 변경, 비밀번호 재설정—을 API 수준에서 보유하고 있었고, 그 권한은 로그인하지 않은 상태에서도 챗봇을 통해 트리거될 수 있었다. The CyberSec Guru는 이를 SQL 인젝션과 비교했다. 입력이 명령으로 오인되는 구조적 취약점이라는 공통점이 있지만, SQL은 데이터와 명령 사이의 경계를 규칙으로 강제할 수 있다. 언어 모델에는 그 경계 자체가 없다.
Meta는 3월에 이 AI 지원 기능을 전체 배포하면서 "의심스러운 위치 변경과 비밀번호 교체를 감지해 계정 탈취를 방어하는 도구"라고 홍보했다. 실제로는 그 API 경로 자체가 탈취 경로가 됐다. 탈취된 OG 핸들들—영문자 몇 글자짜리 짧은 계정명—은 텔레그램에서 즉시 재판매됐으며, 크립토 범죄 추적 연구자 ZachXBT와 Dark Web Informer가 기록한 바에 따르면 두 개의 핸들 시세만 합산해도 100만 달러를 넘었다. 피해자들은 Meta의 일반 지원 채널을 통해 사람 상담사와 연결하지 못했고, 공식 이의 신청 프로세스는 며칠이 걸린다. 계정이 이미 팔린 뒤에.
Meta는 같은 날 저녁 긴급 패치를 배포해 취약한 AI 플로우를 비활성화했다. 그런데 이 공격 방법이 텔레그램에 처음 등장한 건 3월 말이었다. AI 지원 기능이 공개 출시된 직후부터 유통되고 있었다는 뜻이다. 더 불편한 사실은 패치가 한 변종만 막았다는 점이다. 기사 게재 시점에 Facebook 복구 플로우를 통한 두 번째 방법이 미패치 상태로 유통 중이라고 The CyberSec Guru는 보고했다. AI에게 비가역적 행동의 실행 권한을 줄 때, 원본 인증 수단으로의 독립적인 하드 체크가 없으면 어떤 일이 벌어지는지—이번 사건이 그 답을 100만 달러짜리 실증 사례로 남겼다.