Claude 幫手揭美國音樂節售票漏洞，AI 資安測試開始變現實

件事其實幾大鑊

安全研究員 Ian Carroll 喺 2026 年 7 月 1 日公開咗 Front Gate Tickets 漏洞披露。Front Gate 屬 Ticketmaster 票務組合，背後係 Live Nation Entertainment，主力做大型音樂節同現場活動售票；Wired 提到 Lollapalooza、Bonnaroo、SXSW、Austin City Limits 呢類美國大型活動都牽涉其中。Carroll 話，漏洞可以畀人攞到超級管理員權限，睇到客戶同員工資料，甚至喺系統入面加免費或 VIP 門票。以下按 Carroll 披露、Wired、Android Authority 同公司回應整理，未代表 TechLab 實測過漏洞。

Claude 幫咗邊一截

有趣位係 AI 今次扮演嘅角色：Carroll 已經搵到疑似 SQL injection 之後，網站防火牆擋住咗常見做法，佢就交畀用行緊 Opus 嘅 Claude Code 幫手拆下一截。Carroll 原文寫 Claude 好快搵到繞過防火牆嘅思路，仲自動砌出後續鏈條；Wired 同 Android Authority 寫型號係 Claude Opus 4.7。呢個版本名我哋當媒體引述，因為 Carroll 原文只寫 Opus，未見 Anthropic 自己用呢單 case 公開確認型號。

漏洞影響唔止免費飛

最重點係權限。Carroll 話個 SQL injection 本身主要讀資料，但讀到 password reset token 呢類活資料，就等同攞到開門鎖匙。佢話自己最後可以登入管理員介面，睇活動、庫存、價錢、checkout，同埋搜尋客戶資料；佢刻意冇完成出飛。Wired 報道亦引述 Front Gate 回應，話 24 小時內修補、冇見到漏洞俾人濫用、冇票務影響、冇客戶資料外洩。Carroll 就質疑呢啲保證未夠硬淨，因為成功攞到高權限期間，系統似乎冇即時攔截。

AI 幫防守，亦幫攻擊者慳時間

Anthropic 官方文件講得幾白：Opus 同 Sonnet 而家有即時 cyber safeguards，高風險雙用途工作預設會擋，合資格防守人員可以申請 Cyber Verification Program。Carroll 就係呢類核准研究員。問題係，呢類工具一旦真係可以幫人由零碎線索一路砌到可用攻擊鏈，防守方就唔可以再當 AI 係寫 report 嘅助手咁簡單。攻擊者可以用 AI 快過人手掃舊系統，企業都要用同級工具去搵自己啲舊 API、舊 admin flow 同權限漏洞。

售票平台要補嘅唔係表面

售票系統特別麻煩，因為佢唔只收錢，仲管入場、腕帶、VIP package、補飛、退票、員工後台同現場掃描器。買飛人睇到嘅只係付款頁，但真正值錢係後面成套權限模型。Front Gate 呢次麻煩嘅位，係一開始似係讀資料嘅漏洞，最後可以變成管理員權限問題，唔係一句 SQL injection 就講得晒。OWASP 早就將 Broken Access Control 排到 Top 10 第一位，呢單就係好現實嘅例子。

香港可以點睇

呢單冇證據同本地售票平台有關，亦唔應該借題發揮話本地平台受影響。但係場景大家熟：演唱會飛、VIP package、黃牛炒賣、個人資料、付款紀錄，全部都係會出事就好煩嘅資料流。對平台嚟講，基本功唔可以只靠 WAF：admin 一定要有 MFA、最小權限、敏感 token 唔好長時間可讀、所有高權限動作要有 audit trail，同埋要有清楚 security contact 或 bug bounty，畀研究員搵到正路出口披露。

下一步睇咩

今次最值得學嘅位係，AI coding agent 已經唔止改 bug，佢可以幫安全研究員拆解活生生嘅生產系統漏洞。呢件事值得企業安全隊、平台工程師同活動營運商即刻檢查自己啲舊 API 同後台權限；買飛人就留意官方通知、唔好亂信二手票源，同保留訂單紀錄。Front Gate 話已修補，下一步要睇有冇再完整啲嘅事後報告同安全計劃。

參考來源

• Android Authority — Claude helped uncover a ticketing flaw able to unlock free VIP festival passes — original report
• Claude Helped a Hacker Find a Way to Issue Tickets to Almost Every US Music Festival — 首篇深入報道，有 Front Gate 同 Anthropic 回應。
• Backstage access: an unauthenticated SQL injection in Front Gate Tickets — 研究員原始披露，列出影響範圍同披露時間線。
• Real-time cyber safeguards on Claude Opus and Sonnet — Anthropic 官方講解，補 Cyber Verification Program 背景。
• Making frontier cybersecurity capabilities available to defenders — Anthropic 官方 blog，交代 Claude Code Security 點樣定位防守用途。
• Front Gate Tickets — Front Gate 官方網站，確認佢主打 festival ticketing。
• Ticketmaster | Live Nation — Live Nation 官方頁，確認 Ticketmaster portfolio 包括 Front Gate Tickets。
• A01 Broken Access Control - OWASP Top 10:2021 — OWASP 官方 Top 10，補 access control 背景。

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。