Silverfort fant Entra Agent ID-rolle som ga vei til Global Admin

Silverfort-forskerne Noa Ariel og Yoav S publiserte 27. april detaljer om en privilegieeskaleringsfeil i Microsoft Entra Agent ID, ifølge en bloggpost delt med Hackread. Rollen er ny og ble laget for at administratorer skulle kunne styre KI-agenters identiteter, men «scopet» var feil definert: rollen kunne legge til eiere på nesten enhver Service Principal i tenanten, ikke bare agent-objekter.

Angrepskjeden er enkel og robust. En bruker med Agent ID Administrator-rollen enumererer Service Principals via Microsoft Graph API eller Azure CLI, finner én med høyt privilegerte Graph-rettigheter som RoleManagement.ReadWrite.Directory, legger seg selv som eier, injiserer et nytt passord eller sertifikat og autentiserer som den kontoen. Derfra er veien til Global Administrator kort.

«Ownership is a takeover primitive.» — Silverfort, i bloggposten delt med Hackread

Eksponeringen er ikke marginal. Silverfort skriver at omtrent 99 prosent av forretningsnett har minst én privilegert Service Principal, og over halvparten av selskapene de undersøkte bruker allerede agent-identiteter aktivt. Noen kjører over 100 aktive agenter. Når en ny rolle får mer makt enn intensjonen tilsa, treffer feilen bredt.

Fiksen Microsoft rullet ut blokkerer Agent ID Administrator-rollen fra å håndtere eierskap på Service Principals som ikke er agent-objekter. Det betyr at den umiddelbare angrepsvektoren er stengt, men selve mønsteret bør gjøre deg som bygger med agent-identiteter forsiktig: «agent-spesifikke» roller er ofte definert mot et logisk objekttype-skille som ikke nødvendigvis håndheves konsekvent i alle API-er.

Hva bør du gjøre?

1. Kjør et søk i AuditLogs etter endringer på Service Principal-eierskap og nye passwordCredentials/keyCredentials mellom 24. februar og 9. april 2026.
2. Lag en liste over hvem i din tenant som har Agent ID Administrator, og fjern rollen fra brukere som ikke faktisk forvalter agent-identiteter.
3. Behandle alltid agent-identiteter som førsteklasses sikkerhetsobjekter. Sett betingede tilgangspolicyer, krev MFA på menneskelige eiere, og roter Service Principal-credentials på en plan, ikke ved behov.