Estudante Descobre Falha na Microsoft com Bot de IA

Um estudante de apenas 16 anos fez uma descoberta impressionante ao encontrar uma falha em um sistema interno da Microsoft. Essa vulnerabilidade poderia, potencialmente, dar acesso a bancos que contêm cerca de 17,3 trilhões de linhas de dados. O jovem pesquisador, que utiliza o pseudônimo "Faav", contou com a ajuda de um bot de inteligência artificial que ele mesmo desenvolveu para investigar essa questão. Essa ferramenta permitiu que ele obtivesse privilégios de administrador na plataforma.

É importante ressaltar que, apesar do número impressionante, isso não significa que 17 trilhões de informações pessoais tenham sido vazadas. Na verdade, essa cifra representa uma estimativa do volume de dados armazenados em 17 bancos de análise que poderiam ser acessados devido à vulnerabilidade.

Faav garantiu que não baixou nenhum conteúdo em massa e não acessou dados pessoais de clientes. Ele comunicou a falha à Microsoft no início de setembro, e a empresa agiu rapidamente, restringindo o acesso ao sistema quatro dias depois. A Microsoft também recompensou Faav com US$ 5 mil, o que equivale a cerca de R$ 26 mil, por sua contribuição, como parte de seu programa de recompensas por vulnerabilidades.

A investigação começou em 25 de agosto, quando o Antares, a ferramenta de IA criada por Faav, detectou uma interface de programação de aplicações (API) relacionada ao Titan, uma plataforma interna da Microsoft usada para análise de dados.

O painel principal exigia uma rede privada virtual (VPN) que só os funcionários da empresa podiam usar. No entanto, o bot conseguiu identificar uma API separada, hospedada na infraestrutura Azure, que estava acessível pela internet.

Nos dez dias seguintes, o Antares ajudou a testar automaticamente diversas barreiras de autenticação encontradas no sistema. A ferramenta utilizou modelos de IA como Codex e Claude para automatizar partes do trabalho de pesquisa de segurança.

O problema estava na maneira como o Titan analisava os JSON Web Tokens (JWT), que são arquivos digitais usados para confirmar a identidade e as permissões de pessoas ou aplicativos. Normalmente, um JWT contém uma assinatura criptográfica que permite ao servidor verificar se a credencial foi realmente emitida por uma fonte confiável e se não foi alterada.

Faav explicou que, embora o Titan verificasse diferentes informações presentes no token, não checava a assinatura. E, mesmo com toda a ajuda da IA, o toque humano foi fundamental.

O Antares conseguiu passar pelas verificações, mas não encontrou um usuário reconhecido pelo sistema. Foi então que Faav se deu conta de que o campo de identificação poderia estar atrelado a contas locais do Titan e decidiu tentar usar o nome "admin". Para sua surpresa, a plataforma associou essa identificação a uma conta com privilégios administrativos.

"Antares não teria chegado até aqui sozinho, e nem eu", escreveu Faav, refletindo sobre como a combinação da automação da IA e sua própria análise dos resultados ajudaram a identificar a vulnerabilidade. Com os privilégios administrativos, Faav teve acesso a metadados da própria plataforma, que incluíam cerca de 25 mil registros relacionados a contas e e-mails. Desses, havia 17.990 registros de e-mails de funcionários e 15.001 registros com informações organizacionais. Essa experiência ressalta não apenas a importância da segurança cibernética, mas também o potencial que jovens como Faav têm de impactar o mundo da tecnologia.