16 岁研究员借 AI 猎洞：微软 17.3 万亿条记录曾因 token 未验签可被接管
rez0__ · x · 2026-09-26
16 岁 bug bounty 研究员 Faav 披露：微软一个内部分析服务从不校验登录 token 签名，导致约 17.3 万亿条存储记录可通过伪造管理员身份、提交未授权 SQL 查询被访问。他仅用表描述、元数据和有界样本行评估影响范围，未触碰任何客户数据，微软已修复并致谢，但保留了对文章的编辑权。亮点是其自研 AI 挖洞工具 Antares：该漏洞最初正是 Antares 发现的自动化线索，人工接手十天后靠一个深夜直觉完成验证。
所属事件:16 岁研究员发现微软令牌未验签漏洞，17 万亿条记录可被接管(2 条相关)→
「安全」频道最新
- 调查：美国数据中介向中国 AI 实验室出售约 5 亿美元 RL 训练环境 — The Decoder · 2026-11-11
- OpenAI 董事 Christiano：在座大多数人最可能的死因是 AI 事故 — notkilleveryoneist · 2026-11-11
- Agent 读了外部邮件就执行操作，哪些动作必须人工审批？ — GLStops · 2026-11-11
- Grok Bot 新增隐藏指令检测：发现 prompt 注入即警告并拒绝执行 — XFreeze · 2026-11-11
- Reddit 实验：AI 智能体在环境诱导下逐步「学坏」 — Greedy_Ad8932 · 2026-11-11
- 报道:中国高校在美国禁令下仍购入英伟达 H200 芯片 — pstAsiatech · 2026-11-11