安全媒体 Cybernews 披露，AI 聚合平台 302.ai 把一个未加密、未设口令、公网可读的 Azure 存储桶晾在互联网上，里面是 1760 万个文件、合计 22.72TB 数据，其中约 500GB 是用户的聊天记录。这个平台由总部位于香港的 Univerads Technology Limited 运营，上线已有六年。
事件概述
研究团队在 2026 年 8 月初发现该存储桶，联系厂商约一个月后数据被下线，10 月 22 日对外公开细节。Cybernews 表示联系 Univerads Technology 后未获回应。目前尚不清楚这些数据暴露了多长时间，也没有证据显示曾被恶意访问 —— 但「没有证据」和「没有被拿走」是两件事。
按体积拆分：图片接近 9TB，视频 7.7TB，音频 5.6TB，剩下的约 500GB 是聊天记录，以 JSON 文件形式存储，数量超过 14.4 万条。
技术细节：一条聊天记录能泄露多少东西
这些 JSON 里不只有问答正文，还带着完整的元数据：用户提问、AI 回复、实际调用的模型名称、本次消耗的 Token 成本、精确时间戳。用户主动填进对话里的个人信息也在里面，包括姓名、出生日期、性别、邮寄地址和其他联系方式。
更尴尬的是企业用途那部分。研究团队提到，他们找到了某知名情趣用品制造商客服聊天机器人的多轮对话记录 —— 企业把客服场景直接接在第三方聚合平台上，而平台的存储桶是公开的。
这类聚合平台的架构本身就放大了风险：用户为了在一个界面里切换多家模型，会把提示词、文件乃至账号材料一起交给中间层。模型厂商没被攻破，中间商留了一份副本，副本裸奔。2026 年 1 月的 Chat & Ask AI 大约 3 亿条消息泄露，是同一类事故，只是量级不同。
影响评估
单条聊天记录的杀伤力被普遍低估。攻击者从中拿到的是「谁在用哪家公司、内部在做什么项目、用什么措辞沟通、谁来审批」这套上下文，据此可以写出高度定制的钓鱼邮件，成功率远高于群发。往下走的链条通常是商业邮件诈骗、电汇欺诈，再往后是勒索软件。
- 规模：1760 万文件 / 22.72TB，其中 14.4 万条聊天记录
- 字段：提示词、模型回复、模型名、Token 成本、时间戳、姓名、生日、性别、住址
- 访问控制：无加密、无口令、公网可读
- 当前状态：已下线；厂商未回应，未公布暴露时长与访问审计
修复建议
给用 AI 聚合平台的企业三条线：
- 数据分级前置。凡是含客户信息、合同、财务、源代码的提示词，一律不进第三方聚合平台；确需使用就走企业版并确认数据不落地
- 把「影子 AI」当资产管理。安全团队要能回答：谁在用哪个平台、传了什么类型的文件、有没有开启训练授权
- 供应商尽调加一条硬指标：存储桶是否强制私有、是否开启访问日志、保留策略多久
给自己运维的存储做一次自查。Azure Blob 的公开访问可以直接用 REST 接口探一下，能列出容器内容就说明权限没关严：
curl -s "https://ACCOUNT.blob.core.windows.net/CONTAINER?restype=container&comp=list"
# 返回 XML 且含 <Blob> 条目 = 匿名可列举，立即改为私有并开启诊断日志AWS S3 同理，重点查 Block Public Access 是否全开、桶策略里有没有 Principal 为 * 的条目。这类事故的共同点从来不是「被高级攻击者攻破」，而是配置默认值没人复核。