- 研究者が、Microsoft Entra Agent IDのブループリントを悪用し、ソーシャルエンジニアリングによって悪意あるAIエージェントを組織内に送り込めることを実証
- 承認されたブループリントが1つあれば、企業リソースへアクセスできるエージェントIDを数百個生成可能
- 防御側は、サードパーティ製エージェントへの同意を制限し、最小権限の制御を適用したうえで、エージェントの作成イベントを監視すべき
Microsoftが、組織がAIエージェントを識別・監視するための仕組みとしてEntra Agent IDを初めて導入した際、これが悪意あるエージェントを企業環境へ忍び込ませる手段に使われるとは、まったく想定していなかったはずです。しかし、それが現実になっています。
Entra Agent IDは、Microsoft Entraの拡張機能です。企業がAIエージェントを作成してデジタルIDを付与し、エージェントがアクセスできるサービスやデータを決められる仕組みです。Microsoftは、組織が数十、場合によっては数百ものエージェントを展開すると見込み、「エージェントブループリント」も導入しました。これは、それぞれ固有の権限を持つ複数のAIエージェントIDを作成するためのテンプレートです。
セキュリティ研究者のProofpointは、新たなレポートで、攻撃者が自ら管理するMicrosoft環境で悪意あるブループリントを作成し、従来型のソーシャルエンジニアリングの手口で被害者を説得して、被害者側の環境で承認させる手順を明らかにしました。さらに厄介なことに、悪意あるエージェントは環境内に入り込むと自らを「複製」し、それぞれ異なる任務を担う複数の追加IDを作成できます。
攻撃の流れ
Proofpointによると、攻撃はまず、攻撃者が自ら管理するMicrosoft Entra環境でブループリントを設定するところから始まります。攻撃者は認証情報や取得したい権限を設定できるほか、他の組織からも承認を受けられるようにしておきます。
次に、正規のMicrosoft認可ページへ誘導するリンクを作成します。一般的なフィッシング攻撃とは異なり、ログインページを偽造したり、なりすましたりする必要はありません。ただし攻撃者は、標的組織のテナントIDや、狙い撃ちにできる既存ユーザーの情報など、基本的な情報を把握しておく必要があります。
ここからが巧妙な部分です。被害者にはリンクが提示され（メール、SNS、インスタントメッセージなどで送られます）、ブループリントとその権限の承認を求められます。リンクも承認を促すポップアップも正規のものであるため、高度なフィッシング詐欺であることを示すものは何もありません。
リンクをクリックしてブループリントを承認すると、悪意あるAIが組織内に追加されます。
標的の権限が高いほど、被害も大きくなります。組織全体に及ぶアプリケーション権限を承認するには、必要な管理者権限が求められるためです。一方、一般ユーザーでも、企業のポリシーによっては、一部の委任されたアクセス許可を承認できる場合があります。
AIエージェントはインストールされると、まずAgentIdentity.CreateAsManagerという権限を受け取ります。これにより攻撃者は、標的の環境内に入り込んだブループリントに紐づく追加IDを作成できます。1つのブループリントで最大250個のエージェントIDをサポートできるため、悪意あるボットの群れが同時に動き回る事態もあり得ます。
意識向上とアクセス権限の制限を
攻撃者はその後、これらのIDのアクセストークンを取得します。これで正規の社員として扱われ、さまざまなリソースへの承認済みアクセスを得て、好きなようにデータを持ち出せるようになります。
Proofpointは次のように警告しています。「組織は、エージェントへの同意に伴うリスクについて、ユーザーの意識を高めるべきです。特に、信頼できない提供元の『サードパーティ』エージェントに権限を付与する場合は注意が必要です。ユーザー同意の設定によって、ユーザーがサードパーティ製アプリに同意することが制限されるのと同様に、この設定はエージェントブループリントとそのエージェントIDにも適用されます」
Proofpointは、エージェントブループリントIDは同意を与えたすべてのテナントで共通であり、既知の悪意あるエージェントを検出・削除する際の有力な手がかりになると強調しました。研究者は、最小権限の原則を適用すれば影響を抑えられると結論づけています。具体的には、エージェント向けの条件付きアクセスポリシーや、エージェント向けのEntra ID Protectionといった制御を活用します。レポートは「監視については、エージェントとブループリントに関するイベントが、アプリへの同意操作と同様に監査ログに記録されます」と締めくくっています。
