Ερευνητές έδειξαν ότι επιτιθέμενοι μπορούν να καταλάβουν τμήματα ενός περιβάλλοντος Microsoft 365, εξαπατώντας ένα άτομο ώστε να εγκρίνει έναν πλαστό πράκτορα AI.
Δεν κλέβεται κωδικός πρόσβασης και δεν πλαστογραφείται οθόνη σύνδεσης. Η τεχνική ονομάζεται BluePhishing και στοχεύει το Microsoft Entra Agent ID, το σύστημα που δίνει στους πράκτορες AI τις δικές τους ταυτότητες μέσα στο cloud tenant μιας εταιρείας.
Από το OAuth phishing στους πράκτορες AI
Η μέθοδος βασίζεται σε μια γνωστή τεχνική, το OAuth consent phishing, όπου το θύμα πατά «Αποδοχή» σε μια οθόνη αδειών για μια επιβλαβή εφαρμογή.
Το BluePhishing μεταφέρει την ίδια ιδέα στον κόσμο των πράκτορες AI, όπου λιγότεροι γνωρίζουν τι να προσέξουν και υπάρχουν λιγότεροι έλεγχοι. Η Microsoft πρόκειται επιπλέον να διευρύνει την πόρτα: μια ειδοποίηση του Microsoft 365 Message Center, η MC1506733, αναφέρει ότι οι κανονικοί χρήστες του Entra θα μπορούν να δημιουργούν agent blueprints από προεπιλογή από τον Νοέμβριο του 2026.
Αναλυτές της Proofpoint εντόπισαν και περιέγραψαν την τεχνική σε αναφορά που δημοσιεύθηκε στις 9 Νοεμβρίου 2026, σημειώνοντας ότι δεν την έχουν δει ακόμη σε πραγματικές επιθέσεις. Πρόκειται για αποδεικτική έννοια βασισμένη στην έρευνα, και η Proofpoint ενημέρωσε τη Microsoft πριν μοιραστεί τις λεπτομέρειες.
Πώς λειτουργεί η επίθεση
Το Entra Agent ID λειτουργεί όπως το παλαιότερο μοντέλο εφαρμογών. Ένα agent blueprint είναι το πρότυπο, παρόμοιο με μια καταχώριση εφαρμογής και ένα blueprint principal είναι το τοπικό του αντίγραφο μέσα σε ένα tenant. Μια agent identity είναι ένας λειτουργικός πράκτορας που δημιουργείται από το blueprint και ένα blueprint μπορεί να δημιουργήσει έως 250 τέτοιους.
Ο επιτιθέμενος φτιάχνει πρώτα ένα blueprint σε tenant που ελέγχει και προσθέτει ένα client secret. Ορίζει το κοινό σύνδεσης ώστε να επιτρέπονται άλλοι οργανισμοί, κάτι που η πύλη του Entra δεν εμφανίζει, αλλά το PowerShell ή το Microsoft Graph μπορούν να κάνουν. Προσθέτει επίσης ευρείες άδειες που θα κληρονομούν οι πράκτορες.
Στη συνέχεια στέλνει στο θύμα έναν σύνδεσμο συναίνεσης. Όταν το θύμα τον εγκρίνει, εμφανίζεται ένα blueprint principal στο tenant του, που λαμβάνει αυτόματα την άδεια AgentIdentity.CreateAsManager, η οποία σύμφωνα με την Proofpoint δεν μπορεί να ανακληθεί. Με αυτή την άδεια, ο επιτιθέμενος μπορεί να ζητήσει ένα token Graph και να δημιουργήσει agent identities μέσα στο tenant του θύματος. Χρειάζεται μόνο το αναγνωριστικό και το μυστικό του blueprint, που φτιάχνει ο ίδιος, το αναγνωριστικό του tenant του θύματος και έναν χρήστη ως «χορηγό». Η Proofpoint σημειώνει ότι αυτά δεν θεωρούνται μυστικά.
Οι ερευνητές έδειξαν ότι ένας πράκτορας με τις άδειες User.Read.All και Group.Read.All μπορούσε να φορτωθεί στο εργαλείο GraphRunner για να εκτελεί αιτήματα Graph. Η συναίνεση διαχειριστή είναι ισχυρότερη, επειδή ένα κλικ μπορεί να χορηγήσει άδειες εφαρμογής σε όλο το tenant.
Γιατί οι αμυνόμενοι μπορεί να τον χάσουν
Οι πράκτορες αναμένεται να ενεργούν αυτόνομα, γι’ αυτό η δραστηριότητά τους μοιάζει φυσιολογική. Οι έλεγχοι συναίνεσης για πράκτορες είναι λιγότερο ώριμοι από όσο για εφαρμογές και οι κληρονομημένες άδειες δεν εμφανίζονται στην πύλη του Entra ούτε στο Microsoft Graph, παρά μόνο μέσα στα tokens κατά την εκτέλεση. Η εμβέλεια είναι επίσης μεγαλύτερη: μια καταχώριση εφαρμογής αντιστοιχεί σε ένα service principal ανά tenant, ενώ ένα blueprint μπορεί να δημιουργήσει 250 agent identities.
Συστάσεις της Proofpoint
Η Proofpoint προτείνει να εκπαιδευτεί το προσωπικό να προσέχει όταν ένας πράκτορας τρίτου ζητά άδειες, να εφαρμοστούν στα agent blueprints και στις agent identities οι ίδιοι περιορισμοί συναίνεσης χρηστών και να χρησιμοποιηθούν ταξινομήσεις αδειών. Συνιστά επίσης ελάχιστα προνόμια, πολιτικές Conditional Access και Entra ID Protection για πράκτορες, καθώς και παρακολούθηση του αρχείου ελέγχου: το συμβάν «Add application» δείχνει δημιουργία blueprint και το «Add service principal» δημιουργία agent identity.
Δείκτες παραβίασης
Η άδεια AgentIdentity.CreateAsManager είναι η σιωπηρή άδεια του blueprint principal που επιτρέπει τη δημιουργία agent identities. Η ιδιότητα signInAudience = AzureADMultipleOrgs επιτρέπει σε blueprint τρίτου να λάβει συναίνεση. Το αναγνωριστικό του blueprint εμφανίζεται σε κάθε tenant που συναινεί, γι’ αυτό μπορεί να χρησιμοποιηθεί για τον εντοπισμό και την αφαίρεση γνωστών κακόβουλων πρακτόρων.
