Beveiligingsonderzoekers van Proofpoint beschrijven een aanvalstechniek waarmee aanvallers via de identiteit van een AI-agent toegang kunnen krijgen tot een Microsoft Entra-tenant. Bij BluePhishing laat een aanvaller een gebruiker via het reguliere toestemmingsproces akkoord gaan met een kwaadaardige agent blueprint. Het gaat om een proof of concept. Misbruik in de praktijk is nog niet waargenomen.
BluePhishing bouwt voort op app consent phishing, een bekende techniek waarbij aanvallers gebruikers via social engineering toestemming laten geven aan een kwaadaardige applicatie. Bij de nieuwe variant draait het om agent blueprints binnen Microsoft Entra Agent Identity, de uitbreiding van Entra voor het beheer van identiteiten van AI-agents. Volgens Proofpoint lijkt dat model sterk op het bestaande applicatiemodel in Entra en kent het daardoor veel van dezelfde mogelijkheden voor misbruik. De onderzoekers beschrijven de techniek in de blog BluePhishing: Initial Access via Third-Party Agent Blueprint Consent.
Zo werkt de techniek
Een aanvaller maakt in zijn eigen tenant een agent blueprint aan en configureert die met overdraagbare rechten en de eigenschap requiredResourceAccess (RRA). Vervolgens stuurt hij het doelwit een toestemmingslink. Keurt een gebruiker het verzoek goed via het reguliere toestemmingsproces van Entra, dan kan de aanvaller agentidentiteiten aanmaken in de tenant van het slachtoffer. Daarmee kan hij access tokens verkrijgen en handelen met de rechten die aan die agents zijn toegekend.
Voor de aanval zijn volgens de onderzoekers vier gegevens nodig. Twee daarvan genereert de aanvaller in zijn eigen tenant: het application ID van de blueprint en een client secret. Daarnaast moet hij het tenant ID van het slachtoffer kennen, plus een sponsor. Dat is een gebruiker in de tenant van het slachtoffer die nodig is om de agentidentiteit aan te maken. Proofpoint merkt op dat de aanvaller hierbij gebruikmaakt van traceerbare identificatiegegevens, zoals het tenant ID en het object ID van de gebruiker of sponsor.
Verschil met klassieke consent phishing
Net als bij app consent phishing opereert de aanvaller met een legitieme identiteit waarvoor een gebruiker zelf toestemming heeft gegeven, waardoor de activiteit binnen een vertrouwde context plaatsvindt. Proofpoint stelt dat het framework voor agentidentiteiten aanvallers daarbovenop extra mogelijkheden geeft.
De onderzoekers wijzen erop dat het bewustzijn rond deze aanvalsvector nog laag is. Gebruikers zijn volgens hen mogelijk eerder geneigd een AI-agent te autoriseren zonder stil te staan bij de gevolgen voor de beveiliging. Een applicatie die om brede rechten vraagt, kan argwaan wekken. Autonoom gedrag is juist een kenmerk van agents en wordt daardoor sneller geaccepteerd, vooral in omgevingen waar al veel agentidentiteiten actief zijn.
Ook de schaal speelt volgens Proofpoint een rol. Eén blueprint kan tot 250 agentidentiteiten aanmaken. Het bedrijf geeft aan dat beperkingen in zichtbaarheid en governance rond agentidentiteiten en toestemmingsprocessen het risico vergroten op geautomatiseerde post-exploitatie op grote schaal.
Nog geen misbruik waargenomen
BluePhishing is een proof of concept op basis van onderzoek. Proofpoint meldt dat het tot nu toe geen activiteiten in de praktijk heeft vastgesteld die op deze techniek wijzen. Het bedrijf vindt wel dat opkomende technieken als deze gevolgd moeten worden, naarmate de technologie zich ontwikkelt en het beleid rond nieuwe identiteitsframeworks verandert.
Voor beheerders van Entra-omgevingen ligt het voor de hand om bij agentidentiteiten dezelfde controles toe te passen als bij applicaties van derden. Denk aan het beperken van wie toestemming mag geven aan externe blueprints, het controleren van toegekende rechten en het monitoren van nieuw aangemaakte agentidentiteiten.
Het volledige rapport is te lezen via BluePhishing: Initial Access via Third-Party Agent Blueprint Consent.
