9月30日消息，一名网名为 Faav 的 16 岁在校学生，在安全测试过程中发现微软内部数据分析平台 Titan 存在严重安全缺陷。该漏洞一旦被恶意利用，最多可触达 17 万亿条数据记录，同时包含 2.5 万名微软员工的相关资料。
本次事件并未造成恶意数据泄露。Faav 属于白帽安全研究者，在完整确认漏洞细节之后，按照行业通用的负责任披露机制，将全部漏洞信息提交给微软安全团队。微软收到报告后快速完成漏洞修复工作，并向 Faav 发放 5000 美元漏洞赏金，折合人民币约 33516 元。
Faav 在课余时间开发了一套名为 Antares 的 AI 探测机器人，这套工具搭载定制 AI 模型，搭配自动化验证机制，持续对多家大型科技企业的线上服务开展安全巡检，覆盖微软、亚马逊、谷歌、Adobe 等多家企业。本次微软 Titan 平台漏洞，正是 Antares 在自动化扫描任务中发现的。
逐层探测，定位无防护 API 接口
Faav 在针对 Titan 平台开展安全测试时，Antares 首先识别出一处需要代理访问的端点 URL。借助 AI 机器人的自动化扫描能力，Faav 对周边子网域展开大范围探测，找到部署在 Azure 云服务上的节点，并且获取了对应的 Swagger/OpenAPI 接口定义文档。
文档信息显示，平台一共有 4 条 API 访问路径。其中 3 条路径都启用 Azure Active Directory 身份校验，具备访问保护。唯独一条名为 /v2/Query 的接口没有配置防护，允许外部直接提交原生 SQL 查询指令。
为摸清数据库的整体架构，Faav 借助网页存档工具，调取该登录页面 2023 年的历史版本。在一份 Apache Superset 配置文件内，找到了完整的数据库结构文档，掌握平台内部 56 张数据表的详细定义。
核心漏洞：JWT 仅校验格式，忽略数字签名核验
这个 API 接口在常规情况下，会因为访问请求缺少 JWT 凭证而拒绝查询指令。经过 Antares 持续多日自动化测试，Faav 找到了漏洞根源。服务器只会检查 JWT 令牌的格式是否符合规范，并不会校验令牌附带的数字签名真伪。
基于这个缺陷，Faav 手动构造了一份没有有效签名，但声明拥有管理员权限的 Access Token。提交伪造令牌之后，系统成功放行，Faav 拿到平台管理员级别的访问权限。
他通过 SQL 指令查看数据库列表，读取到 2.5 万条微软员工内部信息、组织架构资料、控制面板内容和各类业务统计图表。继续深入检索，还访问到关联必应搜索引擎的分析数据库，整套系统可访问的数据记录总量达到 17 万亿条。
漏洞完成修复，微软认可白帽研究者价值
拿到完整漏洞证据之后，Faav 整理全部测试步骤、漏洞原理和复现方案，提交给微软安全响应中心。微软评估漏洞风险等级，第一时间关闭受影响接口，修补身份验证逻辑。
微软官方公开肯定 Faav 的技术能力与漏洞挖掘思路，按照漏洞奖励计划发放 5000 美元赏金。本次事件也属于典型的白帽安全测试，研究者没有恶意窃取、外传内部数据，在验证漏洞存在之后主动上交全部资料。
事件折射云平台 API 安全的普遍隐患
这起案例也给企业云系统安全防护带来重要警示。很多企业在搭建内部数据分析平台时，会把防护重心放在网页登录入口，却忽略后端 API 接口的安全校验。只校验令牌格式、跳过签名验证，是非常典型的高危编码缺陷。
随着 AI 自动化扫描工具能力不断提升，漏洞探测的门槛持续降低。安全研究者可以借助 AI 机器人批量扫描、持续探测，快速定位接口、爬取文档，大幅缩短漏洞挖掘周期。企业需要重新审视内部接口的访问控制策略，对所有 API 端点统一做身份鉴权，不能出现部分接口裸奔的情况。
在漏洞奖励体系之下，白帽研究者与企业之间形成良性协作。企业借助外部视角提前发现系统隐患，研究者凭借技术能力获得激励，提前化解潜在的数据泄露风险。微软 Titan 平台的这次漏洞事件，也是这套安全协同模式的一次典型实践。
（ 智算芯能前沿网综合）
本文由智算芯能前沿网编辑整理，转载请注明出处。