16 岁少年用 AI 机器人 Antares 发现微软 Titan 平台漏洞，获 5000 美元赏金
16 岁少年用 AI 发现微软内部 API 漏洞：涉及超 17 万亿行数据，获 5000 美元赏金
一个 16 岁少年带着自己写的 AI 机器人 Antares，把微软内部平台的 17 万亿条数据翻了个遍，过程细节全在博客里。
16 岁安全研究员 Faav 于 9 月 25 日发布博客，披露其 AI 机器人 Antares 发现微软内部分析平台 Titan 的身份验证漏洞。
Titan 的 /v2/Query 接口未校验 JWT 令牌的数字签名，Faav 伪造 alg 为 none 的令牌后以管理员身份执行 SQL。他可访问约 25000 条账户记录、17990 个员工邮箱，以及估算达 17.
3 万亿条的数据记录。微软于 9 月 9 日锁定该接口，9 月 17 日向 Faav 颁发 5000 美元漏洞赏金。
16 岁少年用 AI 发现微软内部 API 漏洞：涉及超 17 万亿行数据，获 5000 美元赏金
IT之家 9 月 28 日消息，16 岁安全研究员 Faav 于当地时间 9 月 25 日在其主页发布博客，披露了关于他如何发现微软内部漏洞并获得 5,000 美元 （IT之家注：现汇率约合 33,597 元人民币） 漏洞赏金的经历。 他发现，微软内部分析平台 Titan 存在身份验证漏洞，黑客可藉此访问包含约 2.5 万条员工数据记录的内部数据库，并能查询总量达 17.3 万亿条的数据记录。 Faav 称，他自 15 岁起参与漏洞赏金项目，并开发了 AI 机器人 Antares。2026 年 8 月 25 日，Antares 发现 Titan 的公开 API 接口。该接口提示需要连接 VPN，Faav 随后让 Antares 枚举相关子域名，发现一个位于 Azure 云环境中的主机，并找到对应的 Swagger / OpenAPI 文件。 这份文件列出了 4 个 API 路由。其中 3 个要求 Azure Active Directory 身份验证，但最后一个名为“/v2/Query”的接口没有这一要求，而且支持直接提交 SQL 查询。 Faav 仍需要了解数据库结构。他通过 Wayback Machine 找到了 2023 年 Titan 登录页快照，并从其中获取到了 Apache Superset 配置文件（该文件描述了数据库结构，共包含 56 个数据表定义）。 Antares 随后用 10 天探测 JWT 验证流程。随后，Faav 发现“/v2/Query”接口虽然要求 JWT 身份验证，但服务器似乎没有校验令牌的数字签名。后续，他根据服务器返回方式产生判断，伪造了一枚 alg 为 none、签名段为空的登录令牌，将 upn 改为 admin 后，成功以管理员身份执行 SQL。 9 月 5 日凌晨，他确认可访问 Titan 平台的数据库。查询显示，其元数据包含约 25000 个账户与邮箱记录、17990 个员工邮箱记录、15001 个员工组织记录，以及 355 个数据库配置、20979 个虚拟数据集 SQL 定义、24569 个仪表盘和 425891 个图表。 继续检查后，他在数据库中还发现了一组与 Bing 分析相关的数据源。通过汇总多个数据表中的记录数量，Faav 估算自己可访问的数据规模达到 17,333,335,124,315 条。 Faav 表示，他在凌晨 2 点发现这一数字时，为避免吵醒父母，还不得不克制住喊出来的冲动。随后，他将开始撰写报告并向微软 MSRC 提交。 微软在 9 月 6 日至 8 日要求他停止测试并提供 IP 地址，以确认无超出安全研究的活动。9 月 9 日，该 API 接口即被锁定。 9 月 17 日，微软向 Faav 颁发 5,000 美元 （现汇率约合 33,597 元人民币） 赏金。9 月 22 日，双方会面讨论漏洞并协调披露。Faav 称，微软在博客发布前对文章进行了编辑控制，删减部分内容并调整影响描述。 微软在声明中表示：“我们感谢有机会调查 Faav 报告的发现。其提交和协调漏洞披露帮助我们更好地保护客户，强化了服务。”微软强调，该公司将继续重视在漏洞赏金计划下的安全研究。
This report is categorized under AITOP's "Industry" desk, focusing on US frontier AI labs and Silicon Valley technology leaders. Within our cross-regional analytical framework, it directly maps to AI developer toolchains, coding agents, and engineering workflows and AI regulation, compliance frameworks, and sovereign compute policy. Key entities and technical topics under continuous tracking include Faav, Microsoft, Antares, AI safety.
Source attribution: curated from IT之家.
