本文首次对 Microsoft 365 (M365) 第三方应用生态系统进行面向隐私与安全的系统性测量研究。M365 租户可通过 OAuth 细粒度权限授予第三方应用访问电子邮件、文件、日历、聊天和用户目录等敏感组织资源的权限，但该生态系统的安全状况此前缺乏大规模实证分析。研究者结合公开市场 API 与自动化的租户侧部署，爬取了超过 8,000 个应用，发现仅有 1,069 个应用同时公开了描述和权限集，且各官方分发渠道的透明度存在显著不一致。针对这些有完整数据的应用，作者提出一种主题感知的异常检测框架：首先利用神经主题建模对应用声明的功能进行聚类，然后在每个主题内应用无监督异常检测，识别与同级应用权限配置偏离的个体。通过 LLM 辅助分析和盲审采样，验证了权限异常与应用风险之间存在相关性。研究发现大量应用请求过宽的租户级权限范围（如目录级读写权限），明显违反最小权限原则，扩大了组织的攻击面。最后，作者提供的检测流水线能够向租户管理员标注异常应用并解释哪些权限导致了异常。该研究揭示了 M365 应用生态在权限披露和权限管控方面存在结构性的不成熟与不透明，为管理员和安全团队提供了切实可行的治理建议。