Microsoft Digital Defense Report 2026: выжимка для NHI- и Agentic IAM-аудитории

Что это за документ

Microsoft Digital Defense Report (MDDR) — ежегодный флагманский отчёт Microsoft Threat Intelligence о ландшафте угроз: около ста страниц телеметрии, инцидентных расследований и рекомендаций. Текущий выпуск покрывает период с июля 2025 по июнь 2026 и опубликован 1 октября 2026 года.

Отчёт большой, и большая его часть (киберкриминал, национальные акторы, устойчивость) лежит вне нашей темы. Но две главы читаются как профильная литература для специалистов по Non-Human Identity и Agentic IAM: раздел «The agentic defense stack» в AI-главе (стр. 22–26) и глава «Identity is at the center of modern cyber risk» (стр. 62–74). Ниже — выжимка именно из них: все цифры сверены с текстом отчёта, с указанием страниц. Самую свежую тему — memory poisoning — мы разобрали в отдельной статье.

Агенты стали массовыми — и это признано на уровне телеметрии

Вводный блок агентной главы фиксирует масштаб: 88% предприятий уже экспериментируют с агентами, 82% руководителей планируют расширение в ближайшие 12–18 месяцев, а отраслевые прогнозы указывают примерно на 1,3 млрд агентов в проде к 2028 году.

Важна не сама цифра, а формулировка, которой отчёт её сопровождает: «Each agent needs its own identity, not a credential borrowed from a human employee» — каждому агенту нужна собственная идентичность, а не креденшелы, одолженные у сотрудника. Тезис, который NHI-сообщество продвигало последние годы, теперь записан как базовое требование в мейнстримовом отчёте по угрозам. Дальше — ещё конкретнее: защита агентов в 2026 году названа «вопросом исполнения» — инвентаризировать, идентифицировать и управлять каждым агентом, с возможностью атрибуции, отзыва и принудительного least privilege в масштабе.

Пять классов рисков агентов

Отчёт предлагает классификацию агентной поверхности атак 2026 года — пять классов рисков, каждый с парой «что делают атакующие / что нужно защитникам»:

Обратите внимание: два из пяти классов — identity & privilege compromise и excessive agency — это чистая проблематика NHI, а контрмеры по третьему классу (верифицируемая идентичность, взаимная аутентификация агентов, scoped credentials) дословно совпадают с тем, что мы разбираем в статьях про A2A и MCP и аутентификацию MCP-серверов.

Куда бьют: телеметрия атак на AI-ворклоады

По данным телеметрии Azure AI за 90 дней 2026 года, четыре класса техник дают порядка 90% наблюдаемой атакующей активности:

• malicious link injection через выводы модели и инструментов — 52%;
• jailbreak и обходы безопасности — 16%;
• tool/agent abuse — 12%;
• identity and credential abuse — 10%;
• далее prompt injection — 8%, reconnaissance — 2%.

Отдельно интересна статистика целей наблюдаемых вредоносных промптов (февраль–май 2026): злонамеренное использование — 45%, эксфильтрация данных — 17%, утечка системного промпта — 14%, goal hijacking (перехват цели через нижестоящие инструменты) — 12%, утечка внутреннего устройства системы — 11%.

Отчёт также прямо называет растущую технику — agent-to-agent spoofing: один агент имитирует другого (или его владельца), чтобы преодолеть границы доверия в мультиагентном графе. По мере роста мультиагентных развёртываний техника будет только набирать объём — отсюда требование взаимной аутентификации агентов, о котором ниже.

Три системных риска внедрения агентов

Помимо тактик атак, отчёт называет три организационных риска, которые сопровождают внедрение:

1. Ungoverned agent proliferation. Число агентных идентичностей растёт быстрее, чем способность организации их отслеживать. Без централизованной видимости agent sprawl создаёт даже большие риски, чем shadow IT — дословная оценка отчёта. Мы разбирали этот паттерн в статье про риски Non-Human Identity.
2. Overprivileged access. Агенты накапливают доступ, который почти не отзывается: в отличие от сотрудников, для них нет регулярных пересмотров прав, и широкие полномочия «застаиваются» после смены задачи агента.
3. No human accountability. При автономных действиях вопрос ответственности критичен: без человека-спонсора за каждым агентом некому предъявить инцидент.

Восемь правил agent governance

Практическая часть агентной главы — восемь правил риск-ориентированного governance. Приводим их почти дословно, потому что это готовый чек-лист:

1. Начните с идентичности. У каждого агента — отдельная аудируемая идентичность с метаданными: кто создал, зачем, кто спонсор.
2. Обеспечьте человеческую ответственность. При смене спонсора ответственность автоматически пересматривается и передаётся; агента без отвечающего человека в среде быть не должно.
3. Least privilege с первого дня. Только нужный доступ, ограниченный по времени, с approval-процессами; неиспользуемый доступ отзывается.
4. Автоматизируйте жизненный цикл. Ручной надзор не масштабируется: политики должны проверять актуальность агента, его доступа и спонсора — и автоматически отключать лишнее.
5. Единые политики между платформами. Разные правила для разных платформ создают слепые зоны, которыми пользуются атакующие.
6. Требуйте agent-to-agent аутентификацию. Суб-агенты обязаны доказывать идентичность друг другу, а не только исходной человеческой сессии — неаутентифицированный трафик между агентами это путь распространения единичной компрометации.
7. Выдавайте per-tool scoped credentials. Короткоживущие секреты, привязанные к одному вызову инструмента, — вместо долгоживущих токенов «на всё, что агенту может понадобиться».
8. Считайте revocation latency измеряемым результатом. Время отзыва доступа по всем контурам (идентичность, posture, threat protection) — операционная метрика, определяющая ущерб инцидента.

Пункт 8 особенно примечателен: отзыв доступа сформулирован не как процедура, а как измеряемая метрика инцидента — в духе SRE-подхода к безопасности. Как это выглядит на практике workload identity, мы показывали в статье про SPIFFE и SPIRE.

Memory poisoning и пределы HITL

Самая свежая часть агентной главы — класс атак memory poisoning: через XPIA во внешнем контенте (типично — email) атакующий добивается записи своих инструкций в долговременную память агента, и они возвращаются как «доверенный контекст» в будущих сессиях. Отдельно отчёт фиксирует системный риск чрезмерной опоры на human-in-the-loop: решение о запросе подтверждения часто принимает та же модель, контекстом которой атакующий уже манипулирует, — контроль и объект контроля разделяют один failure mode.

Тема слишком важна, чтобы сжимать её до абзаца: механика атаки, наблюдения Red Team и архитектурные меры разобраны в отдельной статье про memory poisoning.

Идентичность как control plane: цифры второй главы

Глава об идентичности открывается паттерном, который DART (Detection and Response Team — команда расследования инцидентов Microsoft) наблюдает стабильно:

1. начальная компрометация человеческой идентичности;
2. поиск креденшелов нечеловеческих идентичностей (service principals, API-ключи);
3. эскалация привилегий через имеющийся доступ;
4. действия на цели — эксфильтрация, часто через легитимную workflow-автоматизацию, которая сливается с нормальной работой.

NHI здесь не абстрактный риск, а второй шаг типового инцидента. Дальше — статистика облачных атак за 180 дней (декабрь 2025 — июнь 2026, суммарные алерты Entra ID Protection, Defender for Cloud, Defender for Office 365 и Defender for Cloud Apps):

Два вывода из таблицы. Первый: password spray даёт более 99% наблюдаемого облачного initial access — против таких объёмов отчёт рекомендует фишинг-устойчивую аутентификацию и отказ от переиспользуемых креденшелов. Второй: AiTM-фишинг — второй по распространённости канал облачной компрометации (0,15%), и это более эффективный метод: он перехватывает аутентификацию в реальном времени, забирая креденшелы, MFA-ответы и сессионные токены. Доля AiTM и token theft более чем удвоилась за первые шесть месяцев 2026 года — при том что парольные атаки в целом упали на 26% год к году. MFA и passkeys действительно вытесняют атакующих в перехват токенов.

Из ниши в мейнстрим вышел device code phishing: около февраля 2026 атакующие использовали легитимную PaaS-платформу railway.com для хостинга фишинговых страниц под поток Microsoft 365 OAuth device code. Жертва проходила аутентификацию на настоящей странице Microsoft, а сервисы атакующего тихо забирали access- и refresh-токены — в обход пароля и MFA, без классической кражи креденшелов. Тема заслуживает отдельного разбора — мы вернёмся к ней в следующих материалах.

Про passkeys отчёт даёт практическую классификацию по уровням NIST SP 800-63B4: synced passkeys удовлетворяют AAL2 (мультифакторный программный аутентификатор), device-bound — AAL2/AAL3 и рекомендуются для администраторов и высокорискового доступа. Следующий рубеж сформулирован шире аутентификации: фишинг-устойчивым должен стать аккаунт целиком, включая онбординг и восстановление, которые до сих пор опираются на SMS- и email-OTP.

Фоновый ландшафт фишинга

Для калибровки масштаба — четыре цифры из смежных разделов:

• Quishing (QR-код фишинг): более 145 млн атак за год, исторический пик — март 2026; PDF-вложения — до 79% доставки.
• CAPTCHA-gated phishing: более 100 млн атак за год — CAPTCHA-страница прячет фишинг от автоматических сканеров.
• Вложения в письмах почти перестали быть малварью: 89–96% ежемесячно ведут жертву именно на кражу креденшелов.
• Дезрапшн PhaaS-платформы Tycoon2FA (Microsoft, Europol и партнёры, март 2026): во втором полугодии 2025 платформа была связана более чем с 15,1 млн вредоносных писем в месяц и давала до 9% всей вредоносной почты; к июню её активность упала на 95% от ноябрьского пика. Доказанный кейс, что инфраструктурные операции против PhaaS дают измеримый эффект.

AI-браузеры: новая точка входа

Отдельный сигнал на стыке глав: AI-браузеры ежедневно используются более чем в 40% организаций из датасета Microsoft (а браузер в целом, по отраслевым оценкам, — это уже место ~85% всей работы). В мае 2026 AI-браузеры наблюдались как начальный вектор заражения в инцидентах с 57 различными семействами малвари, а кампания вредоносных расширений для Chromium-браузеров (включая агентные) затронула более 900 тысяч установок и 20 тысяч корпоративных тенантов, собирая истории браузера, AI-чатов и сессионные материалы. Браузер превращается в среду исполнения с доступом к аутентифицированным сессиям, cookie и OAuth-состоянию — то есть фактически в недоверенного агента с полномочиями пользователя.

Что это значит для NHI-архитектора

Если собрать обе главы в список действий, картина совпадает с тем, что мы последовательно разбираем в журнале:

• Идентичность — control plane. Единая видимость человеческих и нечеловеческих идентичностей, корреляция сигналов между слоями (инфраструктура, идентичность, облако) — базовая операционная модель.
• Отказ от reusable credentials. Фишинг-устойчивые креденшелы для людей, короткоживущие токены и автоматическая ротация для workloads — прямые рекомендации отчёта.
• Governance агентов как чек-лист. Восемь правил выше — готовый каркас программы: идентичность со спонсором, least privilege с первого дня, lifecycle-автоматизация, agent-to-agent auth, per-tool scoped credentials, revocation latency как метрика.
• Память и HITL — часть поверхности атак. Memory poisoning и обходы HITL требуют архитектурных мер, а не ещё одного диалога подтверждения — см. разбор memory poisoning.
• Проверяйте себя assume-breach. Отчёт рекомендует регулярные учения «считай, что атакующий уже внутри» с фокусом на облака, SaaS, API и workflow-автоматизацию — включая поиск открытых креденшелов.

Оригинал: Microsoft Digital Defense Report 2026, обзорный пост — Insights from the 2026 Microsoft Digital Defense Report в блоге Microsoft Security.

Вывод

MDDR 2026 — первый выпуск отчёта, где агентная безопасность оформлена как самостоятельная дисциплина с метриками, классификацией рисков и правилами governance, а не как раздел про «новые технологии». Для NHI-аудитории это удобный опорный документ: формулировки вроде «каждому агенту — своя идентичность» и «revocation latency — измеряемый результат» теперь можно цитировать не из блогов вендоров, а из отчёта, подкреплённого более чем 143 млн алертов за полгода по одним только шести облачным тактикам. Статистика identity-главы, в свою очередь, подтверждает направление движения: парольные атаки сжимаются, перехват токенов и злоупотребление нечеловеческими идентичностями растут — и именно там сейчас строится основная поверхность риска.