Die Rolle „Agent ID Administrator" gehört zu Microsofts Plattform für Agentenidentitäten, mit der KI-Agenten sich sicher authentifizieren, auf Ressourcen zugreifen und einander entdecken können. Eigentlich sollte die Rolle ausschließlich agentenbezogene Identitäten verwalten. Tatsächlich reichte ihr Geltungsbereich aber deutlich weiter.
Wie die Sicherheitsforscherin Noa Ariel von Silverfort beschreibt, konnten Nutzer mit dieser Rolle Eigentümer eines beliebigen Service Principals werden und ihm eigene Anmeldedaten hinzufügen, um sich anschließend als dieser Principal auszugeben. „Das ist eine vollständige Übernahme des Service Principals", so Ariel. „In Mandanten mit hoch privilegierten Service Principals wird daraus ein Pfad zur Rechteausweitung."
Über die Eigentümerschaft an einem Service Principal kann ein Angreifer im Rahmen von dessen bestehenden Berechtigungen agieren. Verfügt das übernommene Konto über erhöhte Rechte – etwa privilegierte Verzeichnisrollen oder wirkungsstarke Graph-App-Berechtigungen –, lässt sich daraus eine breite Kontrolle über den gesamten Mandanten gewinnen.
Nach verantwortungsvoller Offenlegung am 1. März 2026 verteilte Microsoft am 9. April einen Patch über alle Cloud-Umgebungen, um die zu weit gefasste Reichweite der Rolle zu korrigieren. Seitdem werden Versuche, mit der Rolle „Agent ID Administrator" die Eigentümerschaft über nicht agentenbezogene Service Principals zu übernehmen, blockiert und mit der Fehlermeldung „Forbidden" abgewiesen.
Laut Silverfort verweist der architektonische Fehler darauf, wie wichtig es ist, den Geltungsbereich von Rollen und die Vergabe von Berechtigungen zu prüfen – besonders bei gemeinsam genutzten Identitätskomponenten und wenn neue Identitätstypen auf den Grundlagen bestehender Primitive aufbauen. „Agentenidentitäten sind Teil der größeren Verschiebung hin zu nicht-menschlichen Identitäten, die für das Zeitalter der KI-Agenten geschaffen wurden", sagte Ariel. Würden Rollenberechtigungen ohne strikte Eingrenzung auf gemeinsame Grundlagen angewendet, könne der Zugriff über das ursprünglich Beabsichtigte hinausreichen.
Zur Eindämmung des Risikos empfiehlt Silverfort, die Nutzung sensibler Rollen zu überwachen – vor allem rund um die Eigentümerschaft an Service Principals und um Änderungen an Anmeldedaten. Zudem sollten Organisationen Eigentümerwechsel bei Service Principals nachverfolgen, privilegierte Service Principals absichern und das Anlegen von Anmeldedaten auf Service Principals überprüfen. Das Gesamtrisiko hänge zudem von der Mandantenkonfiguration ab, insbesondere mit Blick auf privilegierte Service Principals, bei denen der Missbrauch von Eigentümerrechten ein bekannter und wirkungsvoller Angriffsweg bleibe.