「BluePhishing」 — Microsoft Entra Agent IDに対するOAuth同意フィッシングにより、攻撃者がテナント内に非取り消し可能なAIエージェントアイデンティティを植え付ける

Proofpointは、Entra Agent IDのAIエージェント向け同意フローを悪用する研究ベースの概念実証（2026年11月9日にMicrosoftに報告、11月11日に公開）を開示しました。ユーザーを騙してサードパーティのエージェントブループリントを承認させることで、攻撃者は非取り消し可能なAgentIdentity.CreateAsManager権限を取得し、被害者テナント内で広範なGraph権限（User.Read.All、Group.Read.All）を持つエージェントアイデンティティを鋳造できます。これは、エージェントの同意制御と権限の可視性がアプリよりも成熟しておらず、継承された権限が実行時にトークン内でのみ表示されるためです。Proofpointはまだ実環境での使用を観測していません。

AIエージェントがエンタープライズテナント内で独自のアイデンティティを取得するにつれ、攻撃面はエージェントの同意とブループリントに移行します。これは新規のエージェントアイデンティティ攻撃クラスです：パスワードとMFAをバイパスし、長命のエージェントプリンシパルを介してパスワードリセットを生き延び、ブループリントごとに数百のエージェントアイデンティティにスケールし、防御者は自律的に行動するエージェントが「正常に見える」ため見落とす可能性のある活動を持ちます。これは、Microsoft Entra Agent IDをモデル/エージェントアイデンティティに使用するAIエージェントデプロイメントを直接脅かします。

攻撃者は自分が制御するテナントにエージェントブループリントを登録し、サインイン対象を他の組織を許可するように設定し（Entraポータルでは表示されない）、広範な権限を添付し、被害者にOAuth同意リンクを送信します。被害者が承認すると、ブループリントプリンシパルが被害者のテナントに暗黙的で非取り消し可能なAgentIdentity.CreateAsManager権限付きで作成されます。攻撃者はその後、Graphトークンを要求し、テナント内にエージェントアイデンティティ（最大250）を作成でき、GraphRunnerスタイルのツールにロードしてエージェントの権限でGraphリクエストを実行できます。パスワードは盗まれず、ログイン画面も偽装されません。

Microsoft Entra Agent ID（エージェントブループリント / ブループリントプリンシパル / エージェントアイデンティティ） — Microsoft 365におけるAIエージェントのアイデンティティモデル；製品パッチなし、コントロールギャップ。Proofpointレポートは2026年11月9日公開、11月11日報道；Microsoft 365メッセージセンターMC1506733は、2026年11月からエージェントブループリント作成をデフォルトのユーザー権限にしています。

Proofpointの推奨：既存のユーザー同意制限をエージェントブループリントとエージェントアイデンティティに拡張し、権限分類を使用し、エージェントに対して最小権限と条件付きアクセスを強制し、監査ログを監視する（「アプリケーションの追加」=ブループリント作成、「サービスプリンシパルの追加」=エージェントアイデンティティ作成）。Microsoftはエージェント向けにいくつかのリスクの高いGraph権限をブロックしています。AgentIdentity.CreateAsManager暗黙権限と各テナントのブループリントIDを侵害の指標として扱ってください。