Con l’adozione accelerata dell’intelligenza artificiale nelle aziende, il framework Microsoft Entra Agent Identity introduce nuove funzionalità, ma espone anche vulnerabilità finora poco analizzate. I ricercatori di Proofpoint hanno identificato “BluePhishing”, una tecnica di attacco che rappresenta la prossima evoluzione dell’abuso del consenso OAuth e sfrutta le identità degli agenti AI per ottenere accesso iniziale ai sistemi delle vittime.
BluePhishing punta sulla manipolazione delle potenziali vittime tramite social engineering per ottenere il consenso a un agent blueprint malevolo, il template da cui vengono create le identità degli agenti in Microsoft Entra. L’attacco funziona in modo analogo al classico app consent phishing, ma estende la tecnica all’ecosistema emergente degli agenti AI.
Gli attaccanti configurano un blueprint malevolo nel proprio tenant Microsoft, aggiungendo credenziali client e permessi ereditabili. Quando una vittima concede il consenso (tipicamente tramite un link inviato via email o messaggistica), viene creato automaticamente un blueprint principal nel tenant della vittima con il permesso irrevocabile AgentIdentity.CreateAsManager.
Questo consente ai cyber criminali di creare fino a 250 identità di agenti nel tenant compromesso, acquisire token di accesso e operare con i privilegi assegnati, mantenendo accesso persistente ai sistemi.
Un rischio amplificato rispetto alle tecniche tradizionali
Secondo i ricercatori, BluePhishing stabilisce un nuovo paradigma per la post-exploitation guidata dall’AI, estendendo le capacità degli attaccanti ben oltre quelle del tradizionale phishing basato sul consenso alle app, tra cui:
- Minore consapevolezza degli utenti: la scarsa familiarità con questo vettore di attacco emergente li rende più propensi ad autorizzare agenti AI, senza valutare appieno le implicazioni di sicurezza.
- Governance meno matura: i controlli sul consenso degli agenti sono meno sviluppati e diffusi rispetto a quelli per le applicazioni tradizionali.
- Impatto su larga scala: mentre una registrazione app corrisponde a un singolo service principal per tenant, un blueprint può generare fino a 250 identità di agenti, moltiplicando il raggio d’azione dell’attacco.
- Visibilità limitata: secondo la documentazione Microsoft, i permessi ereditati non sono visibili nel portale Entra o tramite Microsoft Graph, limitando la capacità di audit delle identità degli agenti.
- Mimetizzazione con attività legittime: il comportamento autonomo è intrinseco agli agenti AI, motivo per cui l’attività malevola si confonde più facilmente con l’uso legittimo, soprattutto in ambienti che già contano numerosi agenti.
Rischio in crescita da novembre 2026
L’annuncio MC1506733 del Message Center di Microsoft 365 specifica che a partire da novembre 2026 gli utenti predefiniti di Microsoft Entra possono creare agent blueprint di default, aumentando significativamente l’esposizione delle aziende a scenari di abuso e consenso malevolo.
Come mitigare gli attacchi
Proofpoint raccomanda alle organizzazioni di sensibilizzare innanzitutto gli utenti sui rischi associati al consenso degli agenti, in particolare quando si tratta di blueprint di terze parti provenienti da fonti non attendibili.
È fondamentale configurare le impostazioni di consenso utente per limitare l’approvazione di agenti esterni, analogamente a quanto già fatto per le applicazioni di terze parti. Per un controllo più granulare, le aziende possono sfruttare le “classificazioni dei permessi” per definire con precisione quali autorizzazioni gli utenti possono approvare.
Sul fronte della difesa attiva, è essenziale applicare il principio del privilegio minimo, utilizzando policy di Conditional Access specifiche per gli agenti, mentre sul piano del monitoraggio occorre monitorare gli eventi relativi a blueprint e agenti nei log di audit per rilevare tempestivamente eventuali anomalie.
Proofpoint precisa che si tratta di una ricerca proof-of-concept e che al momento della pubblicazione non sono state identificate attività malevole in corso. Tuttavia, si sottolinea la necessità di monitorare attentamente queste tecniche emergenti con l’evoluzione di tecnologia e policy relative ai nuovi framework di identità.
