AI 요약
16세 보안 연구원 Faav가 Microsoft의 내부 분석 서비스 'Titan'에서 로그인 토큰의 서명을 검증하지 않는 취약점을 발견했다. 이를 통해 관리자 신원을 사칭하고 인증 없이 SQL 쿼리를 제출할 수 있었으며, 이론적으로 17조 3천억 개의 레코드에 접근 가능했다. Faav는 실제 고객 데이터나 PII에는 접근하지 않았고 책임 있는 공개 절차를 통해 Microsoft에 신고했다.
핵심 포인트
- 2026년 8월 25일 AI 해킹봇 'Antares'가 Microsoft 내부 서비스 'Titan' 발견
- Titan API의 Swagger 파일에 4개 라우트(/GetConfiguration, /GetOnboardedTables, /v2/Query, /v2/Insert) 공개
- /v2/Query 라우트만 Azure AD 인증이 없었고, 원시 SQL을 허용해 취약점 발생
- 약 17조 3천억 개(17.3 trillion)의 저장된 레코드에 접근 가능했던 것으로 추정
- Microsoft는 게시물에 대한 편집권을 행사했으며, 취약점 신고를 인정하고 감사 표명
향후 전망
- Microsoft는 Titan 서비스의 토큰 서명 검증 로직을 강화했을 것으로 예상
- AI 기반 자동화 해킹 도구(Antares 등)의 확산으로 내부 API 보안 점검의 중요성 증가