一名年仅16岁的安全研究员Faav于当地时间9月25日在其个人博客披露，他通过自研AI机器人Antares发现了微软内部分析平台Titan的一个API身份验证漏洞，并因此获得微软5000美元漏洞赏金。Faav表示，他从15岁起便开始参与漏洞赏金项目。

据Faav描述，Antares于2026年8月25日发现了Titan的公开API接口。该接口提示需要连接VPN，随后Antares枚举相关子域名，定位到一个位于Azure云环境中的主机，并找到对应的Swagger/OpenAPI文件。该文件列出了4个API路由，其中3个要求Azure Active Directory身份验证，但名为“/v2/Query”的接口未设此要求，且支持直接提交SQL查询。

为理解数据库结构，Faav通过Wayback Machine找到了2023年Titan登录页的快照，从中获取了Apache Superset配置文件，该文件包含56个数据表定义。Antares随后利用这些信息进一步操作。Faav称，该漏洞可让攻击者访问包含约2.5万条员工数据记录的内部数据库，并能查询总量达17.3万亿条的数据记录。

微软方面在收到报告后确认了该漏洞，并向Faav支付了5000美元赏金。此次事件凸显了AI工具在漏洞挖掘中的潜在应用价值，同时也引发了对企业内部API安全防护的关注。