AI代购泄密：马斯克晒图暴露订单号与地址

马斯克在 X 上分享了一张 AI 辅助购物的截图，本想展示智能代购的便利，却意外把订单号、完整收货地址和部分支付信息一并公开。这张截图随后成为一场公开实验的起点：陌生人仅凭截图里的信息，就通过乐高客服机器人改动了他的订单。

一张截图里的三类敏感信息

据 Hacks.gr 报道，马斯克发布的截图包含一个 10 位订单号、完整地址以及部分支付细节。这三类信息在传统电商流程中通常被视为"身份凭证"——客服系统正是靠它们来确认"你就是下单人"。

问题在于，截图是一种天然去上下文的表达方式。发布者关注的是界面效果，阅读者却能从中提取结构化数据。当这些数据被复制到另一个系统里，它们就成了绕过身份验证的钥匙。

陌生人如何冒充下单人

第一次尝试：取消订单

一位 X 用户用截图中的邮箱和订单号联系了乐高的自动客服系统，据称成功取消了订单。几小时后，马斯克发推称订单其实并未被取消。

第二次尝试：改地址、加数量

随后另一位用户 allegedly 用同样的信息进入客服系统，重新下单、把数量增加到 400 套，并修改了收货地址。记者向乐高求证时，乐高拒绝置评。

这两次操作揭示了同一个漏洞：自动化客服系统无法区分"本人"与"持有本人订单信息的人"。在人工客服场景中，异常的数量改动或地址变更往往会触发复核；而在机器人流程里，只要字段匹配，请求就会被执行。

自动客服系统通常基于“知识库+规则引擎”或轻量级对话模型运行，其设计目标是用最小交互完成高频、标准化的请求，例如查询物流、修改地址、取消订单。为达到这一目标，系统必须尽量降低“摩擦”，因此倾向于用可验证的静态字段（订单号、邮箱、电话）替代人工核验。这种设计在人工客服场景中也有，但人工客服还叠加了行为判断：比如短时间内反复改地址、数量异常增大、语气异常等，都会触发人工复核或风控队列。

机器人流程缺少这层“软判断”。它只能判断字段是否匹配，不能判断请求背后的意图。当攻击者持有的字段是真确的——因为它们来自真实订单截图——系统就丧失了区分“本人”与“持有本人信息的人”的能力。这类漏洞在安全领域被称为“认证与授权混淆”：系统把“知道某些信息”等同于“有权执行操作”，而没有额外的会话绑定或二次验证。

AI 代购的便利与代价

事件发生前不久，马斯克刚刚建议 X 用户让数字助手代为网购，方式是上传一张信用卡照片。这一建议与此次泄密形成了直接对照：让 AI 代理购物，前提是把支付凭证交给它；而分享过程本身又可能把凭证暴露给公众。

Visa 自去年年底以来就曾警告，AI 自动化购物存在欺诈风险，由自动化程序发起的恶意交易也在增加。支付网络看到的问题不只是"AI 会不会买错东西"，而是"当代理可以自主发起交易时，谁来为交易的真实性负责"。

“AI代理”（AI agent）指能够代表用户自主执行多步任务的软件程序，例如比较价格、填写表单、完成支付。它和普通自动化脚本的关键区别在于：代理可以调用外部工具、根据环境反馈调整动作，并在一定范围内自主决策。这意味着它可能发起用户没有逐笔确认的交易。

支付网络担心的风险有三层。第一层是身份冒用：代理运行时持有的凭证（卡号、订单号、地址）如果被泄露或被恶意提示注入，就可能被第三方利用。第二层是授权边界：代理在什么条件下可以替用户下单、改单、取消？目前多数支付系统没有为“机器发起”设计独立的授权与追责链。第三层是争议处理：当交易由代理发起，用户说“我没让它买”，商户说“系统验证通过”，责任难以界定。Visa等机构的警告，本质上是在提示：现有支付风控假设“持卡人本人操作”，而代理打破了这一假设。

遗留系统与 AI 代理的错配

这起事件的核心矛盾，不在于某一家公司的客服机器人做错了什么，而在于 AI 代理被接入了为人类设计的遗留客服系统。

传统客服流程假设请求来自一个有时间压力、有社会约束、会犹豫的真人。当同样的流程面对一个可以无限重试、批量提交、且不受情绪影响的自动化程序时，原本用于"方便真人"的设计——比如用订单号快速定位、用地址快速修改——反而变成了攻击面。

因此，这更像是一次系统性风险的公开演示：截图泄露状态标识符（order number、地址）的风险，和 AI 代理与旧系统集成后的权限边界问题，在同一个案例里叠加出现。

“遗留系统”（legacy system）通常指仍在运行但架构陈旧、难以快速修改的软件系统。电商客服系统很多建于十年前甚至更早，当时的设计假设是：请求来自真人，且真人会因为等待时间、身份核验、社会规范而有所克制。因此系统用“订单号+地址”这类低摩擦字段来提升效率，而不是用强身份绑定。

当AI代理接入这类系统时，错配就出现了。代理可以以毫秒级速度重试、批量提交、自动切换账号，并且不会因为客服话术或等待而放弃。原本为“方便真人”而设计的快捷通道，变成了可被自动化放大的攻击面。更麻烦的是，遗留系统的权限模型往往没有“代理”这个角色，无法区分“用户本人”和“用户授权的程序”，也无法在代理行为越界时中止会话。因此，问题不是某个机器人“做错了”，而是整个流程的信任假设已经过时。

对普通用户的启示

不必把这件事当作马斯克个人的疏忽来消费。任何在社交平台晒出订单、物流、支付界面截图的用户，都在做同样的事——只是没有被 400 套乐高的围观者盯上。

更值得关注的是，当越来越多人接受"让 AI 帮我下单"，截图、订单号、地址这些低敏感度信息会以更高的频率在系统间流转。安全边界不会因为操作者是 AI 而自动收紧，它只会因为流程没有区分"人"和"代理"而变得更松。