🥷 16-летний шкила с помощью нейронки взломал систему Microsoft с 17,3 ТРИЛЛИОНА строк данных.

Школьник натравил своего ИИ-бота Antares на внутреннюю аналитическую платформу Microsoft Titan. Агент 10 дней методично долбил авторизацию, перебирал поддомены, разбирал ошибки JWT и в итоге выяснил, что сервак проверял содержимое токена, но почему-то вообще не проверял его цифровую подпись.

😐 ИИ почти дошёл до конца, но застрял на имени пользователя. Тогда шкила вручную вписал в поддельный токен просто admin и получил возможность выполнять SQL-запросы от имени админа.

Внутри оказались данные примерно 25k аккаунтов, инфа о сотрудниках, десятки тысяч дашбордов и таблиц. А всего через Titan были доступны 17 аналитических баз с примерно 17,3 трлн строк. Сам шкила подчёркивает, что всё это он не скачивал — проверил только ограниченные образцы и метаданные, после чего сразу написал Microsoft.

Среди доступных источников нашлась даже аналитика Bing. Microsoft закрыла дырявый API через несколько дней и выплатила школьнику $5000.

@overlamer1

🤬
В будущем находится тяжело