文章总结： 16岁研究员Faav利用AI机器人Antares发现微软Titan平台存在身份验证漏洞，可访问约2.5万条员工数据及17.3万亿条记录，获5000美元赏金。漏洞源于JWT签名验证缺失，可伪造令牌执行SQL查询。建议企业加强API身份验证与JWT令牌签名校验，并重视AI辅助漏洞挖掘。
综合评分： 85
文章分类： 漏洞分析,AI安全,红队
【安全圈】16岁少年用AI发现微软内部API漏洞：涉及超17万亿行数据，获5000美元赏金
安全圈
2026年10月2日 19:00
江苏
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
关键词
漏洞
16 岁安全研究员 Faav 于当地时间 9 月 25 日在其主页发布博客，披露了关于他如何发现微软内部漏洞并获得 5,000 美元（现汇率约合 33,597 元人民币）漏洞赏金的经历。
他发现，微软内部分析平台 Titan 存在身份验证漏洞，黑客可藉此访问包含约 2.5 万条员工数据记录的内部数据库，并能查询总量达 17.3 万亿条的数据记录。
Faav 称，他自 15 岁起参与漏洞赏金项目，并开发了 AI 机器人 Antares。2026 年 8 月 25 日，Antares 发现 Titan 的公开 API 接口。该接口提示需要连接 VPN，Faav 随后让 Antares 枚举相关子域名，发现一个位于 Azure 云环境中的主机，并找到对应的 Swagger / OpenAPI 文件。
这份文件列出了 4 个 API 路由。其中 3 个要求 Azure Active Directory 身份验证，但最后一个名为“/v2/Query”的接口没有这一要求，而且支持直接提交 SQL 查询。
Faav 仍需要了解数据库结构。他通过 Wayback Machine 找到了 2023 年 Titan 登录页快照，并从其中获取到了 Apache Superset 配置文件（该文件描述了数据库结构，共包含 56 个数据表定义）。
Antares 随后用 10 天探测 JWT 验证流程。随后，Faav 发现“/v2/Query”接口虽然要求 JWT 身份验证，但服务器似乎没有校验令牌的数字签名。后续，他根据服务器返回方式产生判断，伪造了一枚 alg 为 none、签名段为空的登录令牌，将 upn 改为 admin 后，成功以管理员身份执行 SQL。
9 月 5 日凌晨，他确认可访问 Titan 平台的数据库。查询显示，其元数据包含约 25000 个账户与邮箱记录、17990 个员工邮箱记录、15001 个员工组织记录，以及 355 个数据库配置、20979 个虚拟数据集 SQL 定义、24569 个仪表盘和 425891 个图表。
继续检查后，他在数据库中还发现了一组与 Bing 分析相关的数据源。通过汇总多个数据表中的记录数量，Faav 估算自己可访问的数据规模达到 17,333,335,124,315 条。
Faav 表示，他在凌晨 2 点发现这一数字时，为避免吵醒父母，还不得不克制住喊出来的冲动。随后，他将开始撰写报告并向微软 MSRC 提交。
微软在 9 月 6 日至 8 日要求他停止测试并提供 IP 地址，以确认无超出安全研究的活动。9 月 9 日，该 API 接口即被锁定。
9 月 17 日，微软向 Faav 颁发 5,000 美元（现汇率约合 33,597 元人民币）赏金。9 月 22 日，双方会面讨论漏洞并协调披露。Faav 称，微软在博客发布前对文章进行了编辑控制，删减部分内容并调整影响描述。
微软在声明中表示：“我们感谢有机会调查 Faav 报告的发现。其提交和协调漏洞披露帮助我们更好地保护客户，强化了服务。”微软强调，该公司将继续重视在漏洞赏金计划下的安全研究。
END
阅读推荐
【安全圈】苹果官方：iPhone 18 Pro系列确有系统漏洞
【安全圈】自动化 AI 智能体被用于入侵网络安全非营利组织 DIVD
【安全圈】全新幽灵BTR漏洞曝光：绕过主流防御窃取Linux内核高权哈希
【安全圈】OpenSSL修复DTLS高危漏洞：重传逻辑缺陷致未加密堆内存外泄
安全圈
←扫码关注我们
网罗圈内热点 专注网络安全
实时资讯一手掌握！
好看你就分享 有用就点个赞
支持「安全圈」就点个三连吧！
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：安全圈 《【安全圈】16岁少年用AI发现微软内部API漏洞：涉及超17万亿行数据，获5000美元赏金》