16岁安全研究员Faav于当地时间9月25日发布博客，披露他发现微软内部分析平台Titan存在身份验证漏洞，并获5000美元赏金。
2026年8月25日，其AI机器人Antares发现Titan公开API，Swagger文件列出4个路由；其中“/v2/Query”不要求Azure AD身份验证，却支持提交SQL。Faav从Wayback Machine的2023年登录页快照获取Apache Superset配置文件，含56个数据表定义。Antares用10天探测JWT验证后，他伪造alg为none、签名段为空、upn为admin的令牌，成功以管理员身份执行SQL。
9月5日凌晨，他确认可访问Titan数据库，元数据含约25000个账户与邮箱记录、17990个员工邮箱记录、15001个员工组织记录、355个数据库配置、20979个虚拟数据集SQL定义、24569个仪表盘和425891个图表，并发现与Bing分析相关的数据源；估算可访问数据规模达17,333,335,124,315条。
微软9月6日至8日要求其停止测试并提供IP地址，9月9日接口被锁定，9月17日颁发5000美元赏金，9月22日双方会面讨论漏洞并协调披露。微软称该披露帮助更好地保护客户、强化服务。