Copilot Studio 誤設定 10選を Defender で検出

Introduction: why this matters

Copilot Studio エージェントは、データのクエリ、アクションのトリガー、システムとの大規模な相互作用など、運用ワークフローに急速に組み込まれつつあります。Defender Security Research Team は、善意の小さな構成選択（過度に広い共有、弱い認証、リスクの高いアクション）が、気付かないうちに影響の大きい露出ポイントになり得ると警告しています。良いニュースとして、Microsoft Defender は Advanced Hunting Community Queries を使って、これらの状態を早期に検出できます。

What’s new: 10 misconfigurations to hunt for

Microsoft は、実環境で観測された Copilot Studio エージェントの一般的なリスクを「one-page view」として公開し、Microsoft Defender Advanced Hunting における対応する検出も提示しました（Security portal → Advanced hunting → Queries → Community Queries → AI Agent folder）。

主に強調されているリスクは次のとおりです。

• Overbroad sharing（組織全体または広いグループへの共有）：攻撃対象領域と意図しない利用が増加します。
• No authentication required：エージェントがパブリック/匿名の入口となり、内部データやロジックが露出する可能性があります。
• Risky HTTP Request actions：非 HTTPS、非標準ポート、またはコネクタ経由でガバナンスすべきエンドポイントへの直接呼び出しを行うことで、ポリシーと ID 保護を迂回します。
• Email-based data exfiltration paths：攻撃者が制御する入力や外部メールボックス宛てにメール送信できるエージェント（特にプロンプト インジェクションと組み合わさると危険）。
• Dormant agents, actions, or connections：「忘れられた」公開済みエージェントや放置された接続により、隠れた特権アクセスが生まれます。
• Author (maker) authentication in production：職務分離が崩れ、実質的に maker の昇格権限で実行され得ます。
• Hard-coded credentials in topics/actions：資格情報の直接的な漏えいリスク。
• Model Context Protocol (MCP) tools configured：文書化されていないアクセス経路や、意図しないシステム連携を持ち込む可能性があります。
• Generative orchestration without instructions：挙動のドリフトや、プロンプト駆動による危険なアクションの可能性が高まります。
• Orphaned agents（アクティブな所有者なし）：ガバナンスが弱く、責任を持つ保守担当が不在となり、古いロジックが残存するリスクが高まります。

Impact on IT admins and security teams

Power Platform と Microsoft 365 セキュリティを管理する管理者にとっての要点は、エージェントのセキュリティ態勢が ID とデータ ガバナンスの一部になったということです。誤設定は、従来のアプリ資産管理、Conditional Access の前提、またはコネクタ ポリシーだけでは把握しきれない新たなアクセス経路を作り得ます。特に maker によりエージェントが急速に作成される場合、その傾向が顕著です。

Action items / next steps

1. Defender の Advanced Hunting（AI Agent folder）で Community Queries を実行し、環境全体の所見をベースライン化します。
2. 是正の優先度：未認証エージェント、組織全体共有、maker-auth エージェント、外部メール送信機能を持つもの。
3. HTTP Request の利用を見直し、可能な限りガバナンスされたコネクタに置き換えます。HTTPS と標準ポートを強制します。
4. 休眠/孤立資産をクリーンアップ：未使用のエージェント/アクションを廃止し、古い接続をローテーション/削除します。
5. 運用上のガードレールを確立：明確な所有者の必須化、目的の文書化、最小権限の接続、生成オーケストレーションへの必須指示（instructions）などを徹底します。