Sicherheitsforscher von Proofpoint beschreiben eine Angriffstechnik, mit der Angreifer über die Identität eines KI-Agents Zugriff auf einen Microsoft-Entra-Tenant erlangen können. Bei BluePhishing bringt ein Angreifer einen Benutzer dazu, über den regulären Zustimmungsprozess einem bösartigen Agent Blueprint zuzustimmen. Es handelt sich um einen Proof of Concept. Ein Missbrauch in der Praxis wurde bislang nicht beobachtet.
BluePhishing baut auf App Consent Phishing auf, einer bekannten Technik, bei der Angreifer Benutzer per Social Engineering dazu bringen, einer bösartigen Anwendung Zustimmung zu erteilen. Bei der neuen Variante geht es um Agent Blueprints innerhalb von Microsoft Entra Agent Identity, der Erweiterung von Entra für die Verwaltung von Identitäten von KI-Agents. Laut Proofpoint ähnelt dieses Modell stark dem bestehenden Anwendungsmodell in Entra und bietet daher viele der gleichen Missbrauchsmöglichkeiten. Die Forscher beschreiben die Technik im Blogbeitrag BluePhishing: Initial Access via Third-Party Agent Blueprint Consent.
So funktioniert die Technik
Ein Angreifer erstellt in seinem eigenen Tenant einen Agent Blueprint und konfiguriert diesen mit übertragbaren Berechtigungen und der Eigenschaft requiredResourceAccess (RRA). Anschließend schickt er dem Ziel einen Zustimmungslink. Genehmigt ein Benutzer die Anfrage über den regulären Zustimmungsprozess von Entra, kann der Angreifer Agent-Identitäten im Tenant des Opfers erstellen. Damit kann er Access Tokens erlangen und mit den Berechtigungen handeln, die diesen Agents zugewiesen sind.
Für den Angriff sind laut den Forschern vier Angaben erforderlich. Zwei davon erzeugt der Angreifer in seinem eigenen Tenant: die Application ID des Blueprints und ein Client Secret. Darüber hinaus muss er die Tenant ID des Opfers kennen sowie einen Sponsor. Dabei handelt es sich um einen Benutzer im Tenant des Opfers, der zum Erstellen der Agent-Identität benötigt wird. Proofpoint merkt an, dass der Angreifer hierbei nachverfolgbare Identifikationsdaten verwendet, etwa die Tenant ID und die Object ID des Benutzers oder Sponsors.
Unterschied zum klassischen Consent Phishing
Wie beim App Consent Phishing agiert der Angreifer mit einer legitimen Identität, der ein Benutzer selbst zugestimmt hat, sodass die Aktivität in einem vertrauenswürdigen Kontext stattfindet. Proofpoint zufolge bietet das Framework für Agent-Identitäten Angreifern darüber hinaus zusätzliche Möglichkeiten.
Die Forscher weisen darauf hin, dass das Bewusstsein für diesen Angriffsvektor noch gering ist. Benutzer seien möglicherweise eher geneigt, einen KI-Agent zu autorisieren, ohne über die Folgen für die Sicherheit nachzudenken. Eine Anwendung, die weitreichende Berechtigungen anfordert, kann Misstrauen wecken. Autonomes Verhalten ist dagegen gerade ein Merkmal von Agents und wird daher schneller akzeptiert, vor allem in Umgebungen, in denen bereits viele Agent-Identitäten aktiv sind.
Auch die Skalierung spielt laut Proofpoint eine Rolle. Ein einziger Blueprint kann bis zu 250 Agent-Identitäten erstellen. Das Unternehmen gibt an, dass Einschränkungen bei Sichtbarkeit und Governance rund um Agent-Identitäten und Zustimmungsprozesse das Risiko einer automatisierten Post-Exploitation in großem Maßstab erhöhen.
Noch kein Missbrauch beobachtet
BluePhishing ist ein forschungsbasierter Proof of Concept. Proofpoint meldet, bislang keine Aktivitäten in der Praxis festgestellt zu haben, die auf diese Technik hindeuten. Das Unternehmen ist jedoch der Ansicht, dass aufkommende Techniken wie diese beobachtet werden sollten, während sich die Technologie weiterentwickelt und sich die Richtlinien rund um neue Identitäts-Frameworks ändern.
Für Administratoren von Entra-Umgebungen liegt es nahe, bei Agent-Identitäten dieselben Kontrollen anzuwenden wie bei Anwendungen von Drittanbietern. Dazu gehört, einzuschränken, wer externen Blueprints zustimmen darf, zugewiesene Berechtigungen zu überprüfen und neu erstellte Agent-Identitäten zu überwachen.
Der vollständige Bericht ist unter BluePhishing: Initial Access via Third-Party Agent Blueprint Consent abrufbar.
Dieser Artikel ist ursprünglich auf Niederländisch bei MSP Business erschienen. Zum Originalartikel →
