در اتفاقی که به یکی از بزرگترین اشتباهات امنیتی در شبکه اجتماعی X در پاییز ۱۴۰۳ بدل شد، ایلان ماسک با انتشار اسکرین‌شاتی از تراکنش موفق «گراک» (Grok) برای خرید مجموعه‌های لگو جنگ ستارگان، ناخواسته جزئیات حساس بانکی و شخصی خود را برای بیش از ۲۴۰ میلیون دنبال‌کننده منتشر کرد. این رخداد، بحث‌های گسترده‌ای را درباره امنیت عامل‌های هوش مصنوعی (AI Agents) در تجارت الکترونیک ایجاد کرده است.
تحلیل نشت داده و ابعاد ماجرا
ایلان ماسک در تلاش برای نمایش توانمندی‌های هوش مصنوعی اختصاصی خود، «گراک»، تصویری را منتشر کرد که حاوی اطلاعات بسیار حساس بود. این اطلاعات شامل شماره سفارش ۱۰ رقمی، آدرس صورت‌حساب، آدرس تحویل کالا، چهار رقم آخر کارت اعتباری و ایمیل ثبت‌شده در وب‌سایت لگو بود. این حجم از افشای داده‌های شخصی، به کاربران فرصت داد تا با بهره‌گیری از ضعف‌های موجود در چت‌بات خدمات مشتریان لگو، به نام «سوفیا»، دسترسی‌های غیرمجاز ایجاد کنند.
آسیب‌پذیری چت‌بات‌ها و مهندسی اجتماعی
کاربران X با استفاده از اطلاعات افشا شده، با چت‌بات لگو تعامل کردند. گزارش‌ها نشان می‌دهد برخی کاربران توانستند سفارش اصلی را لغو کنند و حتی در اقدامی جسورانه‌تر، آدرس مقصد را تغییر داده و تعداد سفارش‌ها را به ۴۰۰ عدد افزایش دهند. این اتفاق نشان‌دهنده نقص در مکانیزم احراز هویت چت‌بات‌های تجاری است که به راحتی با در اختیار داشتن اطلاعات پایه، به کاربر اجازه مدیریت تراکنش‌های دیگران را می‌دهند. این رخداد به وضوح نشان داد که چگونه یک هوش مصنوعیِ صرفاً خدماتی، بدون لایه‌های امنیتی احراز هویت چندعاملی (MFA)، می‌تواند به ابزاری برای خرابکاری تبدیل شود.
خطرات ظهور «تجارت عامل‌محور» (Agentic Commerce)
ایده ایلان ماسک مبنی بر اینکه کاربران باید تصاویر کارت‌های اعتباری خود را برای خرید هوشمند به مدل‌های هوش مصنوعی بدهند، با انتقادات جدی کارشناسان امنیت سایبری مواجه شده است. ویزا در گزارش‌های اخیر خود نسبت به رشد ۲۵ تا ۴۰ درصدی تراکنش‌های مخرب توسط بات‌ها در نیمه دوم سال ۱۴۰۴ (۲۰۲۵) هشدار داده بود. مهاجمان با ایجاد وب‌سایت‌های جعلی که توسط هوش مصنوعی قابل شناسایی نیستند، می‌توانند اطلاعات پرداخت را سرقت کرده و تراکنش‌های غیرمجاز انجام دهند.
مشخصات ریسک‌های امنیتی عامل‌های هوش مصنوعی
- نقص احراز هویت: ضعف در تایید هویت کاربر در چت‌بات‌های متصل به درگاه‌های بانکی.
- نشت اطلاعات (Data Leakage): افشای ناخواسته کلیدهای تراکنش توسط کاربران در شبکه‌های اجتماعی.
- دستکاری سفارشات: امکان تغییر آدرس و حجم خرید از طریق دسترسی به شماره پیگیری (Order ID).
- حملات فیشینگ هوشمند: استفاده از مدل‌های زبانی برای فریب هوش مصنوعی و ترغیب آن به خریدهای ناامن.
نتیجه‌گیری و توصیه‌های امنیتی
اتفاق پیش‌آمده برای ماسک، یک زنگ خطر برای کاربران و توسعه‌دهندگان است. سیستم‌های عامل‌محور فعلی هنوز از نظر امنیتی برای مدیریت مستقیم دارایی‌های مالی بالغ نشده‌اند. توصیه‌های کلیدی برای کاربران عبارتند از: هرگز تصاویر حاوی اطلاعات پرداخت را در محیط‌های عمومی منتشر نکنید، از ابزارهای پرداخت مجازی (Virtual Cards) برای تراکنش‌های آنلاین استفاده کنید و از هوش مصنوعی صرفاً برای مشاوره خرید استفاده کرده و فرآیند نهایی پرداخت را شخصاً و از طریق درگاه‌های معتبر انجام دهید.
