무슨 일이 있었나
Proofpoint는 AI 에이전트를 위한 Entra Agent ID의 동의 흐름을 악용하는 연구 기반 개념 증명(2026년 11월 9일 Microsoft에 보고, 11월 11일 공개)을 공개했습니다. 사용자를 속여 타사 에이전트 청사진을 승인하게 함으로써, 공격자는 철회 불가능한 AgentIdentity.CreateAsManager 권한을 얻고 피해자 테넌트 내에서 광범위한 Graph 권한(User.Read.All, Group.Read.All)을 가진 에이전트 신원을 생성할 수 있습니다. 에이전트에 대한 동의 제어 및 권한 가시성이 앱보다 덜 성숙하고 상속된 권한이 런타임 시 토큰 내에서만 나타나기 때문입니다. Proofpoint는 아직 실제 사용을 관찰하지 못했습니다.
왜 중요한가
AI 에이전트가 엔터프라이즈 테넌트에서 자체 신원을 얻으면서, 공격 표면은 에이전트 동의 및 청사진으로 이동합니다. 이것은 새로운 에이전트 신원 공격 클래스입니다: 비밀번호 및 MFA를 우회하고, 장기간 지속되는 에이전트 주체를 통해 비밀번호 재설정에서 살아남으며, 청사진당 수백 개의 에이전트 신원으로 확장되며, 에이전트가 자율적으로 행동하는 것이 '정상적으로 보이기' 때문에 방어자가 간과할 수 있는 활동을 합니다. 이는 Microsoft Entra Agent ID를 모델/에이전트 신원에 사용하는 AI 에이전트 배포를 직접적으로 위협합니다.
공격 경로
공격자는 자신이 통제하는 테넌트에 에이전트 청사진을 등록하고, 로그인 대상을 다른 조직을 허용하도록 설정하고(Entra 포털에 표시되지 않음), 광범위한 권한을 첨부하고, 피해자에게 OAuth 동의 링크를 보냅니다. 피해자가 승인하면, 피해자 테넌트에 암시적이고 철회 불가능한 AgentIdentity.CreateAsManager 권한을 가진 청사진 주체가 생성됩니다; 공격자는 Graph 토큰을 요청하고 테넌트 내에서 에이전트 신원(최대 250개)을 생성할 수 있으며, 이를 GraphRunner 스타일 도구에 로드하여 에이전트의 권한으로 Graph 요청을 실행할 수 있습니다. 비밀번호가 도난당하지 않았고 로그인 화면이 위조되지 않았습니다.
영향받는 시스템
Microsoft Entra Agent ID(에이전트 청사진 / 청사진 주체 / 에이전트 신원) — Microsoft 365에서 AI 에이전트를 위한 신원 모델; 제품 패치 없음, 통제 공백. Proofpoint 보고서는 2026년 11월 9일에 게시되고 11월 11일에 보도되었습니다; Microsoft 365 메시지 센터 MC1506733은 2026년 11월부터 에이전트 청사진 생성을 기본 사용자 권한으로 만듭니다.
완화 방안
Proofpoint 권장 사항: 기존 사용자 동의 제한을 에이전트 청사진 및 에이전트 신원에 확장하고, 권한 분류를 사용하며, 에이전트에 대해 최소 권한 및 조건부 액세스를 적용하고, 감사 로그('애플리케이션 추가' = 청사진 생성, '서비스 주체 추가' = 에이전트 신원 생성)를 모니터링하십시오. Microsoft는 에이전트에 대해 일부 위험한 Graph 권한을 차단합니다; AgentIdentity.CreateAsManager 암시적 권한과 모든 테넌트의 청사진 ID를 손상 지표로 취급하십시오.