ハッカーがエージェントID管理者ロールを悪用してサービスプリンシパルをハイジャック

Microsoft Entra IDの新しいAgent Identity Platformで重大なスコープに関する脆弱性が最近発見されました。

このセキュリティ欠陥により、Agent ID Administrator ロールが割り当てられたユーザーが、組織のテナント全体で任意のサービスプリンシパルをハイジャックし、潜在的な権限昇格につながる可能性がありました。

管理者ロールはAIエージェント ID を管理するためだけに設計されていましたが、境界の破綻により、エージェント以外のサービスプリンシパルも制御できるようになってしまいました。Microsoftはすべてのクラウド環境で脆弱性に完全にパッチを適用しました。

しかし、このインシデントは、既存のディレクトリプリミティブ上に構築された新しいコントロールプレーンを導入することの継続的なリスクを浮き彫りにしています。

Microsoft Entra IDにアプリケーションを登録すると、グローバルアプリケーションオブジェクトとローカルサービスプリンシパルが作成されます。

サービスプリンシパルはローカライズされたID として機能し、認証を行い、ロール割り当てを受け取り、エンタープライズリソースにアクセスします。

Microsoft Entra Agent IDはプレビュー機能で、組織がAIエージェントをファーストクラスの ID として扱うことで、それらを管理し保護することができます。このプラットフォームはエージェント ID やブループリントなどの新しいディレクトリオブジェクトを導入しています。

これらのAIエージェント ID は技術的には特殊化されたサービスプリンシパルとして実装されているため、標準エンタープライズアプリケーションと共通の基盤インフラストラクチャを共有しています。

これらの新しいAIオブジェクトを管理するために、Microsoftは Agent ID Administrator ロールを作成しました。ドキュメントではこのロールがエージェント関連のオブジェクトのみに制限されていると述べられていました。しかし、エージェントとアプリケーション間の共有基盤アーキテクチャのため、重大なスコープギャップが生じました。

ハッカーがエージェントID管理者ロールを悪用

SilverFortのサイバーセキュリティ研究者らが、Agent ID Administrator ロールのみを保持するアカウントがこのスコープギャップを悪用して、任意のサービスプリンシパルを乗っ取ることができることを発見しました。

攻撃フローはシンプルながら壊滅的な乗っ取りプリミティブを通じて実行されます：

• 不正な所有権割り当て： Agent ID Administrator ロールを持つ攻撃者は、意図したエージェントのみの制限をバイパスして、任意のサービスプリンシパルの所有者として自分自身を強制することができます。
• 新しい認証情報を生成： 所有権が確立されると、攻撃者はターゲットサービスプリンシパルにシームレスに新しいシークレットまたは証明書をアタッチできます。
• 認証とハイジャック： 攻撃者は新しく作成された認証情報を使用してハイジャックされたサービスプリンシパルとして認証し、その関連するアクセス権すべてを取得します。

このプロセスにより、攻撃者は侵害されたアプリケーション ID の完全な制御を獲得します。興味深いことに、脆弱性はサービスプリンシパルサーフェスに厳密に限定されており、システムは悪意のあるアプリケーションオブジェクトの所有権変更を試みるのに成功してブロックしました。

この脆弱性の主な危険性は、深刻な権限昇格にあります。サービスプリンシパルは、重大なCI/CDパイプライン、自動ワークフロー、および高度なセキュリティツールの背後にあるデジタル ID として頻繁に動作します。

攻撃者がサービスプリンシパルをハイジャックすることに成功した場合、強力なMicrosoft Graphアクセス許可または管理ディレクトリロールを保持する場合、彼らは直ちにそれらの昇格された権限を継承します。

Agent ID Administrator ロールは比較的新しいものですが、ほぼすべてのエンタープライズテナントが非常に権限のあるサービスプリンシパルを利用しています。

さらに、Entra ユーザーインターフェースは Agent ID Administrator ロールを権限があるものとして視覚的にフラグを立てるのに失敗し、IT管理者に適切なセキュリティ精査なしでそれを割り当てるよう誤解させる可能性があります。

2026年2月の責任ある情報開示に続いて、Microsoftは欠陥を確認し、2026年4月9日までに包括的な修正をデプロイしました。

Agent ID Administrator ロールは現在、エージェント以外のサービスプリンシパルの所有者を変更することが永久にブロックされています。

堅牢なセキュリティを維持するために、組織は機密ロールの使用を積極的に監視し、サービスプリンシパル所有権の予期しない変更についてセキュリティチームに警告する必要があります。

権限のあるサービスプリンシパルは重要なインフラストラクチャとして扱われる必要があり、新しく作成された認証情報の継続的な監査が必要です。