L’11 novembre 2026 Proofpoint ha descritto BluePhishing, una tecnica proof-of-concept che sfrutta il consenso OAuth per introdurre identità di agenti AI negli ambienti Microsoft Entra. L’attacco può partire da una singola autorizzazione concessa a un’applicazione apparentemente legittima durante la configurazione di un nuovo assistente per il lavoro.
Il rischio riguarda la possibilità di trasformare la fiducia accordata a uno strumento di produttività in un meccanismo per creare numerose identità controllate dall’attaccante. Proofpoint precisa di non aver rilevato attività malevole in corso al momento della pubblicazione: BluePhishing documenta quindi una superficie di attacco emergente e le sue implicazioni per la sicurezza aziendale.
Come il consenso OAuth alimenta l’inganno
La tecnica si inserisce nella famiglia del consent phishing, un approccio che non punta necessariamente a rubare le credenziali, ma a convincere una persona ad approvare l’accesso di un’applicazione alle risorse disponibili.
Il passaggio può avvenire all’interno di un flusso di autorizzazione autentico. L’utente segue un collegamento, visualizza una schermata riconducibile a Microsoft e concede i permessi richiesti per attivare un servizio. Dal punto di vista dell’esperienza, il processo può apparire simile a quello utilizzato per collegare normalmente un’applicazione cloud all’ambiente di lavoro.
Il problema è che una pagina legittima non garantisce, da sola, che il destinatario della fiducia sia affidabile. La verifica del dominio resta utile, ma deve essere accompagnata dall’analisi dell’applicazione che riceve il consenso, delle operazioni autorizzate e dell’ampiezza dei permessi richiesti.
Una richiesta di autorizzazione visualizzata in un flusso autentico può comunque riferirsi a un’applicazione controllata da un soggetto ostile.
In questo scenario, la fiducia dell’utente diventa una risorsa operativa per l’attaccante. L’autorizzazione iniziale non serve soltanto a consentire l’accesso a una singola applicazione: può creare le condizioni per aggiungere nuove identità all’interno del tenant dell’organizzazione.
Il ruolo degli agenti AI in Microsoft Entra
BluePhishing sfrutta il framework Microsoft Entra Agent Identity, progettato per gestire identità associate ad agenti di intelligenza artificiale. Per comprendere il meccanismo occorre distinguere tre elementi della struttura.
Il primo è il blueprint, cioè il modello che definisce la configurazione e le credenziali dell’agente. Il blueprint rappresenta l’origine da cui possono essere generate ulteriori identità, mantenendo le impostazioni previste dal modello.
Il secondo elemento è il blueprint principal. Si tratta della presenza del blueprint all’interno di uno specifico tenant, vale a dire l’ambiente Microsoft Entra appartenente all’organizzazione. Il principal stabilisce il rapporto tra il modello creato in origine e il contesto nel quale viene utilizzato.
Il terzo elemento è costituito dalle agent identity, le singole identità create a partire dal blueprint. Questa architettura consente di amministrare più agenti collegati alla stessa origine, ma introduce anche relazioni di fiducia che devono essere ricostruite e controllate dai responsabili della sicurezza.
La caratteristica rilevante per BluePhishing è proprio il collegamento tra questi componenti. Un’autorizzazione concessa al blueprint può produrre effetti all’interno del tenant destinatario, dove il modello viene rappresentato tramite un blueprint principal e può diventare la base per la creazione di altre identità di agenti AI.
La sequenza tecnica descritta da Proofpoint
Nello scenario analizzato dai ricercatori, l’attaccante prepara innanzitutto un blueprint all’interno del proprio tenant. Il modello viene configurato con credenziali e autorizzazioni definite dal soggetto che lo controlla.
Successivamente, la vittima viene indotta ad approvare il consenso OAuth richiesto. L’azione può essere presentata come il passaggio necessario per attivare un assistente, collegare uno strumento di produttività o completare una configurazione aziendale.
Dopo l’autorizzazione, nell’ambiente dell’organizzazione viene creato un blueprint principal associato al modello predisposto dall’attaccante. A questo principal viene attribuito automaticamente il permesso AgentIdentity.CreateAsManager.
Secondo la descrizione di Proofpoint, questo permesso consente di creare identità di agenti associate al blueprint. Una singola approvazione può quindi aprire la strada alla generazione di un numero molto elevato di identità, potenzialmente centinaia, a partire dalla stessa origine.
Il punto critico non è soltanto la presenza di un’applicazione esterna nel tenant. La relazione di fiducia può estendersi alle identità create successivamente, rendendo più complessa la distinzione tra agenti autorizzati dall’organizzazione e agenti introdotti attraverso un consenso manipolato.
Perché BluePhishing amplia la superficie di attacco
Gli ambienti aziendali stanno integrando con maggiore frequenza strumenti di IA generativa, assistenti e agenti capaci di operare con una propria identità digitale. In questo contesto, i controlli tradizionali sul login devono essere affiancati da verifiche sui rapporti di delega e sui permessi assegnati alle applicazioni.
BluePhishing evidenzia che il rischio può nascere da un’azione apparentemente ordinaria: approvare una schermata di consenso. L’utente potrebbe non percepire che il soggetto autorizzato non è il servizio che crede di attivare, ma un blueprint predisposto da un attaccante.
Per la sicurezza aziendale diventa quindi necessario esaminare non solo chi ha concesso l’autorizzazione, ma anche quale blueprint sia stato introdotto, quale blueprint principal sia comparso nel tenant e quali agent identity siano state generate a partire da quel modello.
Proofpoint definisce AgentIdentity.CreateAsManager un permesso irrevocabile nel contesto descritto. Il riferimento riguarda il permesso attribuito al blueprint principal e non implica che ogni conseguenza dell’abuso sia impossibile da contenere: la ricerca presenta infatti un percorso tecnico da monitorare, senza indicare campagne malevole già osservate.
Aggiungi MRW alle tue fonti preferite su Google!
