Copilot Studio-Fehlkonfigurationen erkennen mit Defender

Einführung: warum das wichtig ist

Agents entwickeln sich schnell zu einer neuen Steuerungsebene für Datenzugriff und Workflow-Automatisierung – oft schnell erstellt und bereitgestellt über Low-Code-Tools wie Copilot Studio. Microsoft warnt, dass kleine Konfigurationsentscheidungen (breites Sharing, unsichere Actions, schwache Auth, veraltete Ownership) Identitäts- und Datenzugriffspfade schaffen können, die traditionelle Security Controls möglicherweise nicht überwachen. Unterm Strich: Fehlkonfigurierte Agents können Ihre Angriffsfläche unbemerkt vergrößern und Prompt-getriebenen Missbrauch oder Data Exfiltration ermöglichen.

Was ist neu: 10 häufige Agent-Fehlkonfigurationen (und wie man sie erkennt)

Microsoft dokumentiert zehn „in the wild“ beobachtete Fehlkonfigurationen und ordnet jede Defender Advanced Hunting Community Queries zu (Security portal → Advanced hunting → Queries → Community Queries → AI Agent folder) plus empfohlene Maßnahmen in Copilot Studio/Power Platform.

Zentrale Themen sind:

1) Oversharing und schwache Access Boundaries

• Risiko: Agents, die für die gesamte Organisation oder breite Gruppen freigegeben sind.
• Erkennen: Queries wie AI Agents – Organization or Multitenant Shared.
• Abhilfe: Managed Environments und agent sharing limits verwenden; Environment-Strategie und Sharing-Scope validieren.

2) Fehlende oder inkonsistente Authentifizierung

• Risiko: Agents, die keine Authentifizierung erfordern, werden zu einem öffentlichen Einstiegspunkt.
• Erkennen: AI Agents – No Authentication Required.
• Abhilfe: agent authentication at the environment level erzwingen (Auth ist standardmäßig aktiviert – für Tests nicht ohne Guardrails lockern).

3) Riskante Actions, Connectors und Exfiltration Paths

• Risiko: HTTP Request-Actions mit unsicheren Einstellungen (non-HTTPS, nonstandard ports) oder E-Mail-Actions, die Data Exfiltration ermöglichen.
• Erkennen: Queries zu HTTP request patterns sowie email-to-external/AI-controlled inputs.
• Abhilfe: Data Policies / Advanced Connector Policies anwenden und Microsoft Defender Real-time Protection sowie Connector-Action-Controls in Betracht ziehen.

4) Governance Drift: inaktive, verwaiste und überprivilegierte Agents

• Risiko: Inaktive Agents/Connections, Author (maker) authentication, verwaiste Agents mit deaktivierten Owners, hardcoded credentials.
• Erkennen: Queries für dormant/unmodified agents, author auth, hardcoded credentials, orphaned owners.
• Abhilfe: Inventory regelmäßig prüfen, Maker-Credentials einschränken, Secrets über Environment Variables in Azure Key Vault speichern und veraltete Agents quarantänisieren/außer Betrieb nehmen.

5) Neue Tooling- und Orchestrierungsrisiken

• Risiko: MCP tools und generative orchestration ohne klare Instructions (behavior drift/prompt abuse).
• Erkennen: MCP configured sowie orchestration without instructions.
• Abhilfe: MCP-Tooling per Policies begrenzen; auf integrierte Guardrails setzen (z. B. Azure Prompt Shield/RAI controls) und mit klaren Instructions veröffentlichen.

Auswirkungen für IT-Admins und Security-Teams

• Rechnen Sie damit, dass Agents nicht-traditionelle Zugriffspfade einführen (Connectors, MCP tools, email actions), die Legacy-Monitoring umgehen können.
• Die Low-Code-Geschwindigkeit erhöht die Wahrscheinlichkeit von Fehlkonfigurationen im großen Maßstab, insbesondere über mehrere Power Platform-Environments hinweg.
• Governance-Probleme (Ownership, Dormancy, Maker-Credentials) können persistente, schwer sichtbare Risiken erzeugen.

Empfohlene nächste Schritte

1. Die AI Agent Community Queries in Defender Advanced Hunting ausführen und Ergebnisse pro Environment baselinen.
2. Authentifizierung auf Environment-Ebene erzwingen und Ausnahmen prüfen.
3. Managed Environments, sharing limits sowie Data/Connector policies implementieren bzw. validieren.
4. Auf author authentication, hardcoded secrets sowie orphaned/dormant agents prüfen; wo sinnvoll beheben und außer Betrieb nehmen.
5. Secure-Build-Guidance für Makers dokumentieren (HTTP best practices, secret handling, instruction quality) und in das interne Onboarding aufnehmen.