Copilot Studio Security: 10 Misconfigurations Found

Introduzione: perché è importante

Gli agenti Copilot Studio si stanno rapidamente integrando nei flussi di lavoro operativi—interrogano dati, attivano azioni e interagiscono con sistemi su larga scala. Il Defender Security Research Team avverte che piccole scelte di configurazione, fatte con buone intenzioni (condivisione troppo ampia, autenticazione debole, azioni rischiose), possono trasformarsi silenziosamente in punti di esposizione ad alto impatto. La buona notizia: Microsoft Defender può aiutarti a rilevare tempestivamente queste condizioni usando le Advanced Hunting Community Queries.

Novità: 10 configurazioni errate da cercare con hunting

Microsoft ha pubblicato una “one-page view” dei rischi più comuni degli agenti Copilot Studio osservati in ambienti reali, insieme ai rilevamenti corrispondenti in Microsoft Defender Advanced Hunting (Security portal → Advanced hunting → Queries → Community Queries → cartella AI Agent).

I principali rischi evidenziati includono:

• Condivisione eccessivamente ampia (condiviso con l’intera organizzazione o con gruppi molto estesi): aumenta la superficie di attacco e l’uso non intenzionale.
• Nessuna autenticazione richiesta: trasforma un agente in un punto di ingresso pubblico/anonimo che può esporre dati o logiche interne.
• Azioni HTTP Request rischiose: uso di non-HTTPS, porte non standard o chiamate dirette a endpoint che dovrebbero essere gestiti tramite connector—aggirando policy e protezioni di identità.
• Percorsi di esfiltrazione dati via email: agenti che possono inviare email verso input controllati da un attaccante o verso mailbox esterne (particolarmente pericoloso con prompt injection).
• Agenti, azioni o connessioni inattivi: agenti pubblicati “dimenticati” e connessioni obsolete creano accessi privilegiati nascosti.
• Autenticazione dell’autore (maker) in produzione: compromette la separazione dei compiti e può di fatto eseguire con privilegi elevati del maker.
• Credenziali hard-coded in topic/azioni: rischio diretto di leakage delle credenziali.
• Tool Model Context Protocol (MCP) configurati: possono introdurre percorsi di accesso non documentati e interazioni di sistema non intenzionali.
• Generative orchestration senza istruzioni: aumenta la probabilità di deriva del comportamento o di azioni non sicure guidate dai prompt.
• Agenti orphaned (senza owner attivo): governance debole, assenza di un responsabile e maggiore rischio di logiche obsolete.

Impatto su amministratori IT e team di sicurezza

Per gli amministratori che gestiscono la sicurezza di Power Platform e Microsoft 365, il messaggio chiave è che la postura di sicurezza degli agenti è ora parte della governance di identità e dati. Le configurazioni errate possono creare nuovi percorsi di accesso che inventari applicativi tradizionali, assunzioni su Conditional Access o policy dei connector potrebbero non cogliere completamente—soprattutto quando gli agenti vengono creati rapidamente dai maker.

Azioni / prossimi passi

1. Esegui le Community Queries in Advanced Hunting di Defender (cartella AI Agent) e definisci una baseline dei risultati negli ambienti.
2. Dai priorità alla remediation per: agenti senza autenticazione, condivisione a livello organizzativo, agenti con autenticazione maker e qualsiasi capacità di invio email verso l’esterno.
3. Rivedi l’uso di HTTP Request e sostituiscilo con connector governati dove possibile; imponi HTTPS e porte standard.
4. Ripulisci asset inattivi/orphaned: dismetti agenti/azioni inutilizzati e ruota/rimuovi connessioni obsolete.
5. Definisci guardrail operativi: richiedi ownership nominativa, scopo documentato, connessioni con least privilege e istruzioni obbligatorie per la generative orchestration.