Одно согласие на подключение ИИ-агента может открыть злоумышленникам путь к созданию до 250 агентских учётных записей в облаке Microsoft. Специалисты Proofpoint показали атаку BluePhishing, для которой не нужно красть пароль. Пока схема проверена только в эксперименте.
Новая техника затрагивает Microsoft Entra Agent ID, систему управления цифровыми удостоверениями ИИ-агентов. Для развёртывания таких помощников служит шаблон agent blueprint, где задают параметры и права доступа. На основе общего шаблона создают отдельные идентификаторы агентов, каждый из которых может работать от имени определённого пользователя.
BluePhishing развивает знакомую схему фишинга согласия. Атакующий готовит шаблон агента в собственном облаке и присылает ссылку на настоящий экран подтверждения Microsoft. Администратор может одобрить права для всей организации, а обычный сотрудник способен делегировать доступ лишь в пределах собственных полномочий.
После согласия в корпоративной среде появляется объект, представляющий чужой шаблон. По наблюдениям Proofpoint, система автоматически выдаёт ему право AgentIdentity.CreateAsManager, позволяющее создавать связанные учётные записи агентов. Отозвать именно это разрешение у объекта шаблона нельзя, хотя исходное согласие на доступ можно контролировать.
Для дальнейших действий атакующему нужны идентификатор облачной организации и сведения о сотруднике, назначенном ответственным за агента (sponsor). Исследователи указывают, что подобные идентификаторы можно узнать без взлома. Затем злоумышленник использует секрет собственного шаблона, создаёт агента внутри чужой среды и получает токен доступа.
Опасность усиливают наследуемые разрешения. Через OAuth 2.0 владелец шаблона может заранее запросить права, которые перейдут к новым агентам. В эксперименте Proofpoint показала доступ к сведениям о пользователях и группах через Microsoft Graph. В тестах наследуемые пользовательские разрешения не отображались в Entra и Microsoft Graph.
В опубликованном 9 ноября исследовании BluePhishing специалисты уточняют, что предупредили Microsoft до раскрытия деталей. Доказательств применения техники в реальных атаках пока нет. В уведомлении MC1506733 Microsoft также запланировала на ноябрь 2026 года разрешить обычным пользователям Entra создавать шаблоны агентов по умолчанию, что расширяет потенциальную поверхность атаки.
Proofpoint советует ограничивать согласие на сторонние шаблоны, проверять запрашиваемые права и отслеживать события создания агентов в журналах Entra. Подозрительные шаблоны можно искать по постоянному идентификатору. Как показывали прежние атаки с OAuth, легитимная страница согласия сама по себе не гарантирует безопасность запрашиваемого доступа.
