Copilot Studio: 10 мисконфигураций и Defender Hunting

Введение: почему это важно

Агенты быстро становятся новой плоскостью управления доступом к данным и автоматизацией рабочих процессов — часто их создают и развёртывают в сжатые сроки с помощью low-code инструментов вроде Copilot Studio. Microsoft предупреждает, что небольшие решения в конфигурации (слишком широкое предоставление доступа, небезопасные действия, слабая аутентификация, устаревшее владение) могут создавать пути к идентичности и доступу к данным, которые традиционные средства безопасности могут не отслеживать. Итог: неправильно настроенные агенты могут незаметно расширять поверхность атаки и позволять злоупотребления, основанные на prompt, или утечку данных.

Что нового: 10 распространённых неправильных конфигураций агентов (и как их обнаружить)

Microsoft описывает десять неправильных конфигураций, встречающихся «в реальной среде», и сопоставляет каждую с Defender Advanced Hunting Community Queries (Security portal → Advanced hunting → Queries → Community Queries → папка AI Agent), а также с рекомендуемыми мерами снижения рисков в Copilot Studio/Power Platform.

Ключевые темы включают:

1) Чрезмерно широкое предоставление доступа и слабые границы доступа

• Риск: Агенты расшарены на всю организацию или на слишком широкие группы.
• Обнаружение: Запросы вроде AI Agents – Organization or Multitenant Shared.
• Снижение риска: Используйте Managed Environments и agent sharing limits; проверьте стратегию сред (environment) и область предоставления доступа.

2) Отсутствующая или непоследовательная аутентификация

• Риск: Агенты, не требующие аутентификации, становятся публичной точкой входа.
• Обнаружение: AI Agents – No Authentication Required.
• Снижение риска: Принудительно включайте agent authentication at the environment level (аутентификация включена по умолчанию — не ослабляйте её для тестов без защитных ограничений).

3) Рискованные действия, коннекторы и пути эксфильтрации

• Риск: Действия HTTP Request с небезопасными настройками (не-HTTPS, нестандартные порты) или email-действия, позволяющие эксфильтрацию данных.
• Обнаружение: Запросы, покрывающие шаблоны HTTP request и email-на-наружу/ввод, контролируемый AI.
• Снижение риска: Применяйте Data Policies / Advanced Connector Policies, а также рассмотрите Microsoft Defender Real-time Protection и контроль действий коннекторов.

4) Дрейф управления: неактивные, «осиротевшие» и чрезмерно привилегированные агенты

• Риск: Неактивные агенты/подключения, аутентификация автора (maker), «осиротевшие» агенты с отключенными владельцами, жёстко прописанные учётные данные.
• Обнаружение: Запросы для поиска неактивных/неизменяемых агентов, author auth, hardcoded credentials, orphaned owners.
• Снижение риска: Регулярно пересматривайте инвентаризацию, ограничивайте учётные данные maker, храните секреты в Azure Key Vault через environment variables, изолируйте/выводите из эксплуатации устаревших агентов.

5) Риски новых инструментов и оркестрации

• Риск: Инструменты MCP и генеративная оркестрация без чётких инструкций (дрейф поведения/злоупотребления через prompt).
• Обнаружение: MCP configured и orchestration without instructions.
• Снижение риска: Ограничивайте MCP tooling через политики; опирайтесь на встроенные guardrails (например, Azure Prompt Shield/RAI controls) и публикуйте агента с чёткими инструкциями.

Влияние на ИТ-администраторов и команды безопасности

• Ожидайте, что агенты будут создавать нетрадиционные пути доступа (коннекторы, MCP tools, email actions), которые могут обходить устоявшийся мониторинг.
• Высокая скорость low-code повышает вероятность масштабных ошибок конфигурации, особенно в нескольких средах Power Platform.
• Проблемы управления (владение, неактивность, учётные данные maker) могут формировать устойчивый, трудно заметный риск.

Рекомендуемые следующие шаги

1. Запустите AI Agent Community Queries в Defender Advanced Hunting и зафиксируйте базовый уровень результатов по каждой среде.
2. Принудительно включите аутентификацию на уровне environment и пересмотрите любые исключения.
3. Внедрите/проверьте Managed Environments, sharing limits и Data/Connector policies.
4. Проверьте author authentication, hardcoded secrets и orphaned/dormant agents; устраните проблемы и выводите из эксплуатации там, где это уместно.
5. Задокументируйте безопасные рекомендации по разработке для makers (лучшие практики HTTP, работа с секретами, качество инструкций) и добавьте их во внутренний onboarding.