Школьник с самодельным ИИ-ботом вскрыл базу Microsoft на 17 триллионов строк 😊

16-летний исследователь под псевдонимом Faav нашёл в аналитическом сервисе Microsoft Titan дыру, позволявшую изображать администратора и гонять SQL-запросы без всяких учётных данных. Масштаб: 17,3 трлн строк, данные о 25 000 аккаунтах и 425 891 графике. Парень при этом всего год в свободное от школы время тестирует Microsoft, Amazon, Google и Adobe, а рутину за него делает Antares — самописный ИИ-агент для сканирования систем.

Техническая часть читается как детектив, где все двери просто забыли запереть. Antares наткнулся на URL с требованием подключиться через VPN, Faav поручил боту поискать поддомены — нашёлся ресурс в Azure Cloud и файл Swagger/OpenAPI с четырьмя маршрутами API. Три честно требовали аутентификацию через Azure AD, а четвёртый нет. Он принимал сырые SQL-запросы от кого угодно. Дальше на Wayback Machine откопалась версия страницы 2023 года с конфигом Apache Superset, где лежала схема базы на 56 таблиц. Изучив её, Faav понял, что сервер не проверяет подпись токена. Подделал токен, получил права админа — добро пожаловать в 17 триллионов строк.

Вот оно, будущее кибербезопасности — подростки с самописными ИИ-агентами, которые спят по ночам, пока их боты ковыряют чужие API 👶

🥸 godnoTECH - Новости IT