خلل تقني في أداة دعم Meta AI
أقرت شركة Meta بأن أداة الدعم المعتمدة على الذكاء الاصطناعي، والمستخدمة لمساعدة المستخدمين في بعض طلبات استعادة الوصول، تعرضت لاستغلال أمني أتاح لمهاجمين التأثير في عملية إعادة تعيين كلمات المرور لحسابات إنستغرام. وبحسب ما كشفته الشركة في إشعار تنظيمي، فإن المشكلة لم تكن في الأداة نفسها بقدر ما كانت في مسار برمجي منفصل لم يتحقق بالشكل الصحيح من تطابق البريد الإلكتروني المدخل مع البريد المرتبط بالحساب المستهدف.
هذا الخلل سمح، في بعض الحالات، بإرسال رابط إعادة تعيين كلمة المرور إلى بريد إلكتروني غير مرتبط بالحساب بدلًا من رفض الطلب. ووفقًا للوصف الفني الذي قدمته Meta، فإن هذا السلوك غير المقصود فتح الباب أمام طرف ثالث للحصول على رابط يمكن استخدامه للسيطرة على الحساب.
الحادثة تعكس جانبًا مهمًا من تحديات استخدام أنظمة الذكاء الاصطناعي في خدمات الدعم: فالخطأ لا يكون دائمًا في النموذج اللغوي أو الواجهة التفاعلية، بل قد يظهر في طبقات التحكم والتكامل البرمجي المحيطة به. وفي هذه الحالة، أدى خلل في التحقق من الهوية إلى ثغرة عملية في واحدة من أكثر العمليات حساسية داخل أي منصة اجتماعية، وهي استعادة الحساب.
أكثر من 20 ألف حساب قد تكون تأثرت
أوضحت Meta أن عدد الحسابات التي يُرجح أنها تأثرت بالاستغلال بلغ 20,225 حسابًا على إنستغرام، وهو رقم وصفته الشركة بأنه حد أعلى، لأن بعض الحالات قد تكون عمليات إعادة التعيين فيها مشروعة بالفعل. وذكرت أيضًا أن 30 مستخدمًا من بين المتأثرين يقيمون في ولاية مين الأمريكية، وهو ما دفع الشركة إلى تقديم إشعار رسمي وفق متطلبات الإبلاغ المحلية هناك.
وبحسب ما ورد في الإشعار، فإن التقدير يقتصر على المستخدمين الذين أعيدت تعيين كلمات مرورهم عبر أداة الدعم، ولم تكن لديهم خاصية المصادقة الثنائية مفعلة، ويُعتقد أن حساباتهم ربما جرى الوصول إليها من طرف غير مصرح له. هذه النقطة توضح أن غياب التحقق الثنائي يبقى عاملًا حاسمًا في جعل الحسابات أكثر عرضة للاختراق عندما تتعرض آليات الاسترداد نفسها للخلل.
كما أشارت Meta إلى أن الحادثة بدأت في 31 مايو، قبل أن تقول إنها عالجتها في 1 يونيو. ورغم أن الشركة تحدثت عن احتواء سريع نسبيًا للمشكلة، فإن أثرها لم يقتصر على الحسابات العادية، بل طال أيضًا أسماء معروفة وحسابات مرتبطة بجهات وشركات بارزة.
حسابات بارزة ضمن قائمة المتأثرين
من بين الحسابات التي تأثرت خلال الفترة المذكورة، أشارت التقارير إلى حساب قديم مرتبط بالرئيس الأمريكي السابق باراك أوباما على إنستغرام، إضافة إلى حساب تابع لكبير رقباء القوة الفضائية الأمريكية جون ف. بنتيفينا، وكذلك حساب شركة Sephora. ورغم أن Meta لم تشرح تفاصيل فردية لكل حالة، فإن إدراج أسماء معروفة في الحادثة يبرز حجم المخاطر عندما تتعرض أنظمة الاستعادة لثغرات يمكن استغلالها عن بُعد.
البيانات التي كان من الممكن الوصول إليها، بحسب تحذير الشركة، قد تشمل عناوين البريد الإلكتروني وأرقام الهواتف وتواريخ الميلاد والمشاركات الاجتماعية والرسائل المباشرة ومعلومات الملف الشخصي ونشاط الحساب والحسابات المرتبطة. ومع ذلك، قالت Meta إنها لا تعرف حتى الآن ما إذا كانت أي بيانات شخصية قد تم الوصول إليها فعليًا نتيجة الاستغلال.
هذه الصياغة الحذرة مهمة، لأنها تفرق بين احتمال الوصول إلى البيانات وبين تأكيد حدوث تسريب فعلي. وفي قضايا الأمن الرقمي، لا يكفي أن تكون هناك ثغرة؛ بل ينبغي أيضًا تحديد ما إذا كان المهاجم قد استغلها للوصول إلى معلومات حساسة أم اقتصر الأمر على القدرة النظرية على ذلك.
إجراءات احتواء وإصلاح
بعد اكتشاف المشكلة، قالت Meta إنها عطلت أداة الدعم المعتمدة على الذكاء الاصطناعي، وأزالت المسار البرمجي المعيب، كما أبطلت روابط إعادة التعيين التي تم إنشاؤها باستخدام الثغرة. وإضافة إلى ذلك، أُدرجت الحسابات التي يُعتقد أنها تأثرت في خطوة أمان إلزامية تتطلب التحقق قبل السماح بأي وصول للحساب.
هذه الإجراءات تمثل استجابة قياسية نسبيًا لحوادث الاستغلال التي تمس آليات تسجيل الدخول أو استرداد الحساب. أولًا يتم قطع نقطة الاستغلال، ثم إبطال المفاتيح أو الروابط المتأثرة، ثم فرض طبقة تحقق إضافية على الحسابات المشكوك في تعرضها للاختراق. غير أن الحادثة تطرح سؤالًا أوسع حول مدى جاهزية أدوات الدعم الآلية عندما تتحول من مجرد واجهات مساعدة إلى عناصر تؤثر مباشرة في أمان الهوية الرقمية.
كما تسلط القضية الضوء على أهمية التصميم الدفاعي متعدد الطبقات. فحتى عندما يكون الذكاء الاصطناعي جزءًا من عملية الدعم، يجب ألا يملك صلاحية تنفيذية واسعة من دون ضوابط صارمة، خصوصًا في العمليات التي تتعلق بتغيير كلمات المرور أو استعادة الحسابات أو تعديل بيانات الاتصال. أي خلل بسيط في منطق التحقق قد يتحول سريعًا إلى نقطة استغلال واسعة النطاق.
الدروس الأوسع لقطاع المنصات الرقمية
تأتي هذه الحادثة في وقت تتسابق فيه الشركات التقنية إلى دمج الذكاء الاصطناعي في خدمة العملاء، وإدارة الحسابات، والدعم الفني، وخفض التكاليف التشغيلية. لكن واقعة إنستغرام تذكر بأن الأتمتة لا تلغي الحاجة إلى تدقيق أمني صارم، بل تزيدها إلحاحًا. فكلما أصبح النظام أكثر سرعة واستجابة، زادت أيضًا خطورة الأخطاء إذا لم تُراجع مساراته الداخلية بدقة.
كما تعيد الحادثة التأكيد على أن المصادقة الثنائية ليست مجرد ميزة إضافية، بل عنصر أساسي لتقليل أثر الاختراقات المرتبطة بالبريد الإلكتروني أو استعادة الحساب. وفي منصات تضم مئات الملايين من المستخدمين، يمكن لثغرة واحدة في آلية الدعم أن تتسع سريعًا لتؤثر في آلاف الحسابات خلال فترة زمنية قصيرة.
بالنسبة إلى Meta، فإن القضية تتجاوز إصلاح خطأ برمجي عابر، لتصل إلى اختبار أوسع لثقة المستخدمين في الأدوات الآلية داخل البنية الأمنية للمنصة. أما بالنسبة إلى بقية شركات التقنية، فهي تذكير عملي بأن الذكاء الاصطناعي في الخدمات الحساسة يجب أن يعمل تحت رقابة هندسية وقانونية متقدمة، لا بوصفه طبقة تفاعل فقط، بل كجزء من منظومة حماية الهوية الرقمية نفسها.