微软人工智能研究团队近日在 GitHub 上意外暴露了海量敏感数据，这一事件由云安全初创公司 Wiz 发现并披露。据 TechCrunch 报道，该 GitHub 仓库属于微软 AI 研究部门，内含用于图像识别的开源代码和 AI 模型，并引导用户从 Azure Storage URL 下载相关模型。然而 Wiz 安全团队发现，该 URL 权限配置存在严重漏洞，错误地授予了”full control”而非”read-only”访问权限，导致大量私密信息被公开泄露。
此次泄露的数据规模惊人，涉及 38TB 敏感信息，具体包括：两名微软员工的个人电脑完整备份、Microsoft 服务的核心密码、机密密钥，以及超过 30,000 条来自数百名微软员工的内部 Microsoft Teams 消息等高度敏感的个人信息。Wiz 团队指出，存储账户本身并未直接暴露，真正的问题在于 URL 中嵌入了一个权限过度的共享访问签名 (SAS) token。作为 Azure 的标准安全机制，SAS token 本用于创建可共享链接，但此次配置错误使其具备了删除、篡改或注入恶意内容的可怕能力。
Wiz 团队表示，他们已于 6 月 22 日将这一重大发现告知微软，微软在两天后的 6 月 24 日迅速吊销了该 SAS token。微软安全团队在 8 月 16 日完成调查后确认，此次事件并未导致任何客户数据泄露，也未对其他内部服务构成安全风险。微软在 TechCrunch 发布的官方博客中强调，”没有暴露任何客户数据，也没有因此问题而使其他内部服务面临风险。”
此次事件暴露出企业开源代码管理中的重大安全隐患。微软对此高度重视，已主动扩展 GitHub 秘密扫描服务，该服务能够实时监控所有公开源代码的变更，有效防范凭证明文暴露、秘密信息泄露以及 SAS token 权限配置不当等问题。这一举措将显著提升企业代码资产的安全性，避免类似数据泄露事件再次发生。
