BluePhishing: nowa technika ataku wykorzystująca agenty AI do obejścia zaufania w Microsoft Entra
14 listopada 2026 · Czas czytania: 3 min
Badacze z firmy Proofpoint odkryli nową technikę ataku o nazwie BluePhishing, która wykorzystuje agenty sztucznej inteligencji do obejścia mechanizmów zaufania w środowisku Microsoft Entra. Jedna przyznana autoryzacja może otworzyć drogę do stworzenia setek tożsamości agentów AI kontrolowanych przez atakujących. Technika ta polega na wykorzystaniu zgody OAuth do wprowadzenia do organizacji tożsamości, które są następnie kontrolowane przez złoczyńców, co stwarza poważne ryzyka dla bezpieczeństwa przedsiębiorstw.
Atak rozpoczyna się od prośby o zgodę, która może pojawić się, gdy użytkownik testuje nowego asystenta do pracy. Ofiara klikka łącze, rozpoznaje interfejs Microsoft i zatwierdza uprawnienia niezbędne do aktywacji usługi. Jest to moment, w którym BluePhishing wprowadza do środowiska organizacji nowe tożsamości. Celem oszustwa jest uzyskanie zgody na model agenta kontrolowanego przez atakującego, co tworzy warunki do wprowadzenia nowych tożsamości. Zaufanie przyznane rzekomemu narzędziu produktywności staje się zasobem operacyjnym dla atakującego.
Proofpoint prezentuje BluePhishing jako badanie koncepcji dowodowej i deklaruje, że nie zidentyfikowano żadnych złośliwych działań w toku w momencie publikacji. Praca dokumentuje ścieżkę nadużycia i jej implikacje obronne, nie dowodząc jednak istnienia już kampanii przeciwko firmom. Ważne jest rozróżnienie między pojawiającą się powierzchnią ataku a zjawiskiem już znanym i wykorzystywanym, na którym wdrażanie technologii i dojrzewanie kontroli postępują jednocześnie.
Mechanizm należy do rodziny phishingu zgody, który wykorzystuje inżynierię społeczną, aby skłonić osobę do zatwierdzenia dostępu aplikacji do dostępnych zasobów. W doświadczeniu użytkownika decydujący moment może odbywać się w ramach autentycznego przepływu autoryzacji. BluePhishing przenosi tę logikę na ramę Microsoft Entra Agent Identity. Kluczowe są trzy pojęcia: blueprint, czyli model definiujący konfigurację i poświadczenia agentów; blueprint principal, reprezentujący jego obecność w konkretnym dzierżawcy; oraz agent identity, czyli pojedyncze tożsamości tworzone na podstawie tego modelu.
W scenariuszu opisanym przez Proofpoint atakujący przygotowuje blueprint we własnym dzierżawcy, konfigurując poświadczenia i uprawnienia, a następnie skłania ofiarę do przyznania zgody. W środowisku docelowym tworzony jest blueprint principal, któremu automatycznie przypisywane jest uprawnienie AgentIdentity.CreateAsManager. Umożliwia ono tworzenie tożsamości agentów powiązanych z modelem. Komunikat określa to uprawnienie jako nieodwołalne, co odnosi się do przyznania temu głównemu podmiotowi, a nie do niemożności ograniczenia konsekwencji ataku.
Z tej początkowej obecności mogą wynikać dalsze tożsamości oraz tokeny używane do operowania na dostępnych zasobach. Badacze wskazują limit 250 tożsamości powiązanych z jednym blueprintem. Jest to istotny element dla zarządzania incydentem, ponieważ pojedyncze zatwierdzenie może wygenerować wiele obiektów do zbadania. Liczba ta nie równa się jednak 250 skompromitowanym kontom ludzkim i nie implikuje automatycznie pełnej kontroli nad dzierżawcą.
Wpływ zależy od natury uprawnień i tego, kto może je zatwierdzić. Badanie techniczne rozróżnia zgodę administracyjną od zgody użytkownika. Uprawnienia aplikacyjne wymagają zatwierdzenia administracyjnego, podczas gdy uprawnienia delegowane działają w kontekście użytkownika i mają dodatkowe ograniczenia. Polityki mogą również blokować bezpośrednią zgodę i wymagać etapu zatwierdzenia.
Trudności obronne dotyczą również widoczności. Proofpoint zwraca uwagę na ograniczenia ujawniania dziedziczonych uprawnień w narzędziach administracyjnych i interfejsach API, co może utrudniać odtworzenie rzeczywistych możliwości tożsamości. W szczegółach testów badacze ograniczają obserwowaną cichą dziedziczność do uprawnień delegowanych przyznawanych poprzez zgodę użytkownika. Dla audytorów oznacza to konieczność oceny relacji między modelem, uprawnieniami a pochodnymi agentami.
Dodatkowym wyzwaniem jest kontekst. Agent jest zaprojektowany do wykonywania zadań z pewną autonomią, więc jego operacyjność może wydawać się zgodna z oczekiwaniami organizacji. W środowisku wykorzystującym wiele agentów rozróżnienie tożsamości wprowadzonej poprzez mylącą zgodę wymaga informacji o jej pochodzeniu, odpowiedzialnym podmiocie i autoryzowanym celu. Etykieta sztucznej inteligencji może ułatwiać zatwierdzenie, gdy pilność testowania nowych narzędzi precede zrozumienie ich przywilejów. Mierki proponowane przez Proofpoint zaczynają się od zarządzania zgodą: ograniczanie zatwierdzania zewnętrznych blueprintów, ustalanie, jakie uprawnienia mogą być przyznawane przez użytkowników, oraz stosowanie zasady najmniejszego przywileju.