“BluePhishing”——针对Microsoft Entra Agent ID的OAuth同意钓鱼，允许攻击者在租户中植入不可撤销的AI代理身份

Proofpoint披露了一个基于研究的证明概念（于2026年11月9日报告给Microsoft，11月11日公开），该概念滥用了Entra Agent ID的AI代理同意流程。通过诱骗用户批准第三方代理蓝图，攻击者获得了不可撤销的AgentIdentity.CreateAsManager权限，并可以在受害者租户内铸造具有广泛Graph权限（User.Read.All、Group.Read.All）的代理身份，因为代理的同意控制和权限可见性不如应用程序成熟，且继承的权限仅在运行时出现在令牌中。Proofpoint尚未观察到实际使用。

随着AI代理在企业租户中获得自己的身份，攻击面转移到代理同意和蓝图。这是一种新颖的代理身份攻击类别：它绕过密码和MFA，通过长期存在的代理主体在密码重置后存活，并扩展到每个蓝图数百个代理身份，防御者可能忽视这些活动，因为自主行动的代理“看起来正常”。它直接威胁使用Microsoft Entra Agent ID进行模型/代理身份管理的AI代理部署。

攻击者在其控制的租户中注册一个代理蓝图，将登录受众设置为允许其他组织（在Entra门户中不可见），附加广泛权限，并向受害者发送OAuth同意链接。当受害者批准时，会在受害者租户中创建蓝图主体，并带有隐式的、不可撤销的AgentIdentity.CreateAsManager权限；攻击者随后可以请求Graph令牌并在租户内创建代理身份（最多250个），这些身份可加载到GraphRunner风格的工具中以代理权限运行Graph请求。无需窃取密码，无需伪造登录界面。

Microsoft Entra Agent ID（代理蓝图 / 蓝图主体 / 代理身份）——Microsoft 365中AI代理的身份模型；无产品补丁，这是一个控制缺口。Proofpoint报告于2026年11月9日发布，11月11日被报道；Microsoft 365消息中心MC1506733从2026年11月起将代理蓝图创建设为默认用户权限。

Proofpoint建议：将现有用户同意限制扩展到代理蓝图和代理身份，使用权限分类，对代理强制实施最小权限和条件访问，并监控审计日志（“添加应用程序”=蓝图创建，“添加服务主体”=代理身份创建）。Microsoft阻止了代理的一些高风险Graph权限；将AgentIdentity.CreateAsManager隐式权限和每个租户中的蓝图ID视为入侵指标。