Estudante usa bot de IA para acessar sistema da Microsoft com 17 trilhões de linhas de dados

Um estudante de 16 anos, que se apresenta pelo pseudônimo "Faav", identificou uma vulnerabilidade em um sistema interno da Microsoft que poderia permitir o acesso a bancos de dados com aproximadamente 17,3 trilhões de linhas de dados. Para investigar a falha, o jovem utilizou um bot de inteligência artificial que ele mesmo desenvolveu, o Antares, que o ajudou a obter privilégios de administrador na plataforma.

É importante destacar que o número de 17 trilhões não representa dados pessoais vazados, mas sim uma estimativa do volume armazenado em 17 bancos de análise que poderiam ser acessados pela vulnerabilidade. Faav afirmou que não fez download de informações em massa nem acessou dados pessoais de clientes. A falha foi reportada à Microsoft no início de setembro, e a empresa restringiu o acesso ao sistema quatro dias depois.

A recompensa de US$ 5 mil, equivalente a cerca de R$ 26 mil, foi concedida ao estudante pelo relato, como parte do programa de recompensa por vulnerabilidades da Microsoft. A investigação começou em 25 de agosto, quando o bot Antares encontrou uma interface de programação de aplicações (API) relacionada ao Titan, uma plataforma interna da Microsoft para análise de dados. Apesar de a API principal exigir uma rede privada virtual (VPN) para acesso, o bot identificou uma API separada que estava acessível pela internet.

Nos dez dias seguintes, o Antares foi utilizado para testar automaticamente as barreiras de autenticação do sistema. O bot se baseou em modelos de IA como Codex e Claude para realizar essa tarefa. A descoberta do estudante ressalta a importância da segurança em sistemas de grandes empresas e a necessidade de vigilância constante contra vulnerabilidades.