Die Sicherheitslücke offenbarte ein grundsätzliches Architektur-Problem bei der Implementierung neuer Identitätstypen in Entra ID. Die “Agent ID Administrator”-Rolle war als privilegierte Systemrolle konzipiert worden, um die gesamte Identitäts-Lebenszyklusverwaltung von KI-Agenten in einem Mandanten zu handhaben. Diese Rolle sollte es Administratoren ermöglichen, KI-Agenten sicher zu authentifizieren und ihnen Zugriff auf notwendige Ressourcen zu gewähren.
Doch wie Sicherheitsforscherin Noa Ariel von Silverfort feststellte, war die Berechtigung viel zu breit gefasst: Nutzer mit dieser Rolle konnten nicht nur Agent-bezogene Service Principals, sondern beliebige Service Principals im Tenant übernehmen, indem sie sich selbst als Eigentümer eintrugen und anschließend neue Anmeldedaten hinzufügten. Dies ermöglichte vollständige Service-Principal-Übernahmen und damit einen direkten Privilege-Escalation-Pfad – insbesondere in Umgebungen mit hochprivilegierten Service Principals.
Die Auswirkungen waren erheblich: Ein kompromittierter Service Principal mit erweiterten Verzeichnis-Rollen oder hochproblematischen Microsoft-Graph-Berechtigungen hätte einem Angreifer potentiell Kontrolle über den gesamten Tenant gewähren können. Dies umfasst Zugriff auf sensitive Daten, Manipulation von Benutzerkonten und möglicherweise auch Lateral Movement zu weiteren Systemen.
Nach verantwortungsvoller Disclosure am 1. März 2026 rollte Microsoft den Patch global aus. Seitdem werden Versuche, Nicht-Agent-Service Principals mit der Agent ID Administrator-Rolle zu übernehmen, mit einer “Forbidden”-Fehlermeldung blockiert.
Silverfort betont, dass dieser Vorfall die Notwendigkeit deutlich macht, Rollenrechte und Berechtigungen streng zu scopieren – insbesondere bei neuen Identitätstypen, die auf bestehenden Fundamenten aufbauen. Für Administratoren empfiehlt sich eine sofortige Überprüfung von Service-Principal-Ownerships, Audit-Logs von Credential-Änderungen und eine Sicherung hochprivilegierter Service Principals. Der Vorfall unterstreicht, dass die Sicherheit von AI-Agenten und Non-Human-Identities kritische Aufmerksamkeit erfordert.