À 16 ans, le chercheur connu sous le pseudonyme Faav a découvert une faille critique dans Titan, un service interne de Microsoft. Son intelligence artificielle, Antares, a mis au jour un défaut qui permettait de se faire passer pour un administrateur. En théorie, cette brèche ouvrait l’accès à plus de 17 000 milliards de lignes de données.
La faille de Titan découverte par l’IA de Faav
Le 25 août, Faav a présenté Antares, une IA conçue pour repérer des vulnérabilités. En explorant des sous domaines de Microsoft, l’outil a trouvé une interface publique hébergée sur Azure, reliée à Titan, une plateforme d’analyse réservée aux employés.
Le problème venait des jetons d’authentification, ces sortes de cartes d’identité numériques. Titan vérifiait les informations qu’ils contenaient, mais pas leur signature. Un jeton fabriqué sans signature pouvait donc être accepté par le service.
Un faux compte administrateur accepté par Microsoft
Antares a testé les défenses pendant dix jours, en modifiant des jetons. Après plusieurs essais infructueux pour trouver un compte reconnu, Faav a tenté le nom « admin ». Titan l’a accepté comme identifiant d’un administrateur disposant de droits étendus.
L’accès obtenu concernait les métadonnées de la plateforme. Faav y a repéré environ 25 000 comptes, près de 18 000 adresses professionnelles, des tableaux de bord et des définitions de bases de données. Des échantillons liés au moteur de recherche Bing figuraient aussi parmi les éléments exposés.
Le chiffre de 17 333 335 124 315 lignes correspond à une estimation, qui inclut des doublons et des archives. Il ne signifie pas que Faav a téléchargé ou consulté l’ensemble de ces données. Le chercheur affirme s’être limité à quelques échantillons pour démontrer la faille, sans exploiter d’informations sensibles.
Microsoft corrige la faille et récompense le chercheur
Faav a signalé le problème au Microsoft Security Response Center. Microsoft a corrigé la vulnérabilité quatre jours plus tard, puis lui a versé une récompense de 5 000 dollars le 17 septembre. Le signalement a suivi la procédure de divulgation coordonnée de l’entreprise.
Ce n’était pas son premier rapport à Microsoft : l’année précédente, Faav avait déjà signalé une faille dans Microsoft Events. Son parcours illustre aussi un changement concret en cybersécurité : l’IA peut accélérer la recherche, mais la validation humaine reste déterminante. C’est bien Faav qui a eu l’idée d’essayer « admin ».
Les outils automatisés peuvent produire des rapports plus vite que les équipes ne les trient, avec une qualité inégale. Une IA capable de tester des milliers de pistes est utile, mais la sécurité dépend toujours d’un contrôle élémentaire : vérifier que chaque identité et chaque signature sont authentiques.
Source: www.01net.com
Commentaires
Laisser un commentaire