“BluePhishing”, uma técnica que estende o phishing de consentimento OAuth (protocolo de autorização aberta) ao modelo de agentes de IA (inteligência artificial) do Microsoft Entra.
O atacante precisa de apenas um clique de consentimento para criar identidades de agentes persistentes dentro do locatário (tenant) da vítima. A Proofpoint afirma que se trata de uma prova de conceito baseada em pesquisa e que não identificou nenhuma atividade em ambientes reais até o momento.
O Microsoft Entra Agent ID estende o Entra a agentes de IA e espelha de perto o modelo de aplicações. Um blueprint de agente equivale a um registro de aplicativo (app registration), e um principal de blueprint equivale a um principal de serviço (service principal).
Uma identidade de agente é uma instância específica criada a partir de um blueprint. O limite documentado pela Microsoft é de 250 identidades de agentes por blueprint não gerenciado pela Microsoft em um locatário.
Trata-se de um raio de impacto muito maior do que o de um registro de aplicativo, que corresponde a um único principal de serviço por locatário.
O atacante configura um blueprint em um locatário que controla. Ele define o público de login como AzureADMultipleOrgs, adiciona um segredo de cliente e define as permissões por meio de requiredResourceAccess (RRA, lista de recursos e permissões exigidos) e de permissões herdáveis.
A configuração de público não pode ser alterada no portal do Entra. Ela precisa ser definida pelo Microsoft Graph, pelo PowerShell ou pelo manifesto.
Em seguida, o atacante envia um link de consentimento, como uma URL de consentimento de administrador que usa o escopo .default. Isso solicita tudo o que foi pré-configurado no blueprint.
Quando a vítima aprova, um principal de blueprint aparece no locatário dela. Ele recebe a permissão de aplicativo AgentIdentity.CreateAsManager, que, segundo a Proofpoint, não pode ser revogada do principal.
Com essa permissão, o atacante usa as credenciais do blueprint para solicitar um token de client credentials ao endpoint de token do locatário da vítima.
A Proofpoint também observa que, a publicação MC1506733 do Message Center do Microsoft 365 afirma que usuários padrão do Entra poderão criar blueprints de agentes a partir de novembro de 2026, o que amplia a exposição.
Ataque BluePhishing
O atacante apresenta esse token ao Microsoft Graph para criar identidades de agentes. Para criá-las, é necessário um patrocinador (sponsor), ou seja, o ID de objeto de um usuário do locatário da vítima.
Depois, o atacante se autentica pelo fluxo de agente autônomo (autonomous agent flow), usando o parâmetro fmi_path, para obter tokens do Graph para essas identidades.
Em testes, a Proofpoint usou permissões de aplicativo como User.Read.All e Group.Read.All com o GraphRunner para emitir solicitações arbitrárias ao Graph.
O atacante precisa do ID e do segredo da aplicação do blueprint, que vêm do próprio locatário dele. Também precisa do ID de locatário da vítima e de um usuário patrocinador.
O endpoint GetCredentialType pode enumerar usuários, e o endpoint de configuração OpenID Connect retorna o ID do locatário.
O consentimento de administrador é o caminho mais perigoso, porque as permissões de aplicativo valem para todo o locatário, embora o usuário que sofreu o phishing precise ter capacidade para concedê-lo.
O consentimento do usuário concede apenas permissões delegadas, que não podem ser resgatadas de forma autônoma e exigem consentimento adicional pelo fluxo on-behalf-of.
A Proofpoint observou herança silenciosa apenas para permissões delegadas concedidas por consentimento do usuário.
A documentação da Microsoft diz que permissões herdadas não aparecem no portal do Entra nem no Graph, apenas no conteúdo dos tokens em tempo de execução. Isso limita a auditoria.
A atividade dos agentes também se mistura ao tráfego normal, porque comportamento autônomo é esperado de agentes, e os controles de consentimento para agentes são menos maduros do que os de consentimento para aplicativos.
As organizações devem treinar os usuários sobre os riscos de consentir com agentes de terceiros. As configurações atuais de consentimento do usuário também se aplicam aos blueprints de agentes, e as classificações de permissão podem restringir o que os usuários podem aprovar.
A Microsoft já bloqueia permissões de alto risco do Graph para agentes, como User.ReadWrite.All.
Para detecção, o ID do blueprint é idêntico em todos os locatários que o consentem. Isso o torna um indicador confiável para caçar e remover um blueprint malicioso conhecido.
Os defensores também devem aplicar o princípio do menor privilégio, políticas de Acesso Condicional para agentes e o Entra ID Protection para agentes.
Eles devem monitorar os logs de auditoria dos eventos “Add application” (criação de blueprint) e “Add service principal” (criação de identidade de agente).
