Исследователи описали технику BluePhishing: одного подтверждения согласия в Microsoft Entra хватает, чтобы в тенанте появился blueprint principal, а вместе с ним - возможность создавать ИИ-агентов от имени чужой организации. С ноября 2026 года такие объекты в Entra смогут по умолчанию создавать обычные пользователи. Пока это демонстрация, а не зафиксированная кампания.
Схема опирается на модель Entra Agent ID - платформу Microsoft для ИИ-агентов. В ней blueprint похож на регистрацию приложения, а blueprint principal - на service principal. Из одного blueprint можно создать до 250 агентских идентичностей. Классический фишинг согласия даёт тенанту один service principal на одну регистрацию приложения, поэтому запас для злоупотребления здесь шире.
По данным Proofpoint, сценарий начинается в тенанте атакующего. Он создаёт blueprint, задаёт аудиторию AzureADMultipleOrgs, добавляет client secret и настраивает разрешения. Аудиторию нельзя поменять в портале Entra - только через Graph, PowerShell или манифест.
Жертве отправляют ссылку согласия. После подтверждения в её тенанте появляется blueprint principal. Система сама выдаёт ему разрешение AgentIdentity.CreateAsManager, и отозвать это разрешение у principal нельзя. С учётными данными blueprint атакующий получает токен для тенанта жертвы.
Для создания агента нужен sponsor - идентификатор пользователя в тенанте жертвы. Его находят перечислением пользователей, а идентификатор тенанта - через конфигурацию OpenID Connect. Дальше атакующий получает токены через autonomous agent flow и работает с Microsoft Graph от имени агента. В своём тесте исследователи выдавали агенту права на чтение пользователей и групп.
Унаследованные delegated permissions могут не отображаться ни в портале Entra, ни в Graph. Их видно только в содержимом токена во время работы. Активность такого агента сливается с обычным поведением ИИ-агентов, а управление согласиями для агентов пока менее зрелое, чем для приложений.
Авторы называют BluePhishing исследовательским PoC, а не подтверждённой кампанией. Случаев реального применения схемы в источнике не приводится. По сообщению Microsoft 365 Message Center MC1506733, с ноября 2026 года обычные пользователи Entra смогут создавать agent blueprints по умолчанию. Общий blueprint ID одинаков во всех тенантах, которые дали согласие, поэтому его можно использовать как признак для поиска.
В качестве мер защиты исследователи предлагают ограничивать пользовательские согласия и выдавать агентам минимальные привилегии. В список входят также Conditional Access, Entra ID Protection и наблюдение за событиями Add application и Add service principal в журналах аудита. Реакция Microsoft на описание схемы неизвестна. Не установлено и то, изменятся ли настройки согласий по умолчанию к ноябрю 2026 года.
По сути BluePhishing относится к тому же классу, что и классический OAuth consent phishing, но переносит его на агентские идентичности. Атака не требует уязвимости в коде: она использует легитимный механизм согласия и доверие пользователя к ИИ-агенту. Поэтому защита строится не вокруг патча, а вокруг политики согласий, видимости агентских разрешений и контроля того, кто может создавать blueprint. Это делает BluePhishing не проблемой одного тенанта, а вопросом управления агентскими согласиями во всей организации. Особенно если пользователи могут создавать blueprint без участия администратора.
