Подросток под псевдонимом Faav обнаружил уязвимость в базе данных Microsoft с помощью собственного ИИ-бота Antares. Бот просканировал поддомены и выявил хост Azure Cloud с открытым API-эндпоинтом, который не требовал аутентификации для выполнения запросов.
Исследователь использовал конфигурационный файл 2023 года, найденный через Wayback Machine, чтобы изучить схему базы данных. Он обошел систему безопасности, воспользовавшись отсутствием проверки JWT-токенов, и получил доступ, имитируя права администратора.
В результате инцидента были скомпрометированы 25 000 учетных записей пользователей и 17 триллионов записей, включая данные аналитики Bing, организационные документы и внутренние дашборды. О проблеме было сообщено через программу bug bounty.
Компания Microsoft выплатила исследователю $5 000 за обнаружение уязвимости. По словам автора находки, успех стал возможен благодаря сочетанию человеческой интуиции и автоматизированных процессов, выполненных ИИ-ботом в течение десяти дней.
