Microsoft Defender deteta falhas no Copilot Studio

Introduction: why this matters

Os agentes do Copilot Studio estão rapidamente a ser incorporados em fluxos de trabalho operacionais — a consultar dados, a acionar ações e a interagir com sistemas em escala. A Defender Security Research Team está a alertar que pequenas escolhas de configuração bem-intencionadas (partilha ampla, autenticação fraca, ações arriscadas) podem, discretamente, tornar-se pontos de exposição de alto impacto. A boa notícia: o Microsoft Defender pode ajudar a detetar estas condições cedo usando Advanced Hunting Community Queries.

What’s new: 10 misconfigurations to hunt for

A Microsoft publicou uma “one-page view” dos riscos mais comuns em agentes do Copilot Studio observados em ambientes reais, juntamente com deteções correspondentes no Microsoft Defender Advanced Hunting (Security portal → Advanced hunting → Queries → Community Queries → pasta AI Agent).

Principais riscos destacados incluem:

• Partilha excessivamente ampla (partilhado com toda a organização ou grupos amplos): aumenta a superfície de ataque e o uso não intencional.
• Sem autenticação obrigatória: transforma um agente num ponto de entrada público/anónimo que pode expor dados internos ou lógica.
• Ações HTTP Request de risco: uso de não-HTTPS, portas não standard ou chamadas diretas a endpoints que deveriam ser controlados via connectors — contornando políticas e salvaguardas de identidade.
• Caminhos de exfiltração de dados via email: agentes que conseguem enviar email para inputs controlados por atacantes ou caixas de correio externas (especialmente perigoso com prompt injection).
• Agentes, ações ou ligações dormentes: agentes publicados “esquecidos” e ligações desatualizadas criam acesso privilegiado oculto.
• Autenticação do autor (maker) em produção: quebra a separação de funções e pode, na prática, executar com permissões elevadas do maker.
• Credenciais hard-coded em tópicos/ações: risco direto de exposição de credenciais.
• Ferramentas Model Context Protocol (MCP) configuradas: podem introduzir caminhos de acesso não documentados e interações não intencionais com sistemas.
• Orquestração generativa sem instruções: aumenta a probabilidade de desvio de comportamento ou de ações inseguras orientadas por prompts.
• Agentes órfãos (sem owner ativo): governance fraca, ausência de responsável e maior risco de lógica desatualizada.

Impact on IT admins and security teams

Para admins que gerem a segurança do Power Platform e do Microsoft 365, a principal conclusão é que a postura de segurança dos agentes passou a fazer parte da governance de identidade e dados. Configurações incorretas podem criar novos caminhos de acesso que inventários tradicionais de aplicações, pressupostos de conditional access ou políticas de connectors podem não capturar totalmente — especialmente quando os agentes são criados rapidamente por makers.

Action items / next steps

1. Executar as Community Queries no Advanced Hunting do Defender (pasta AI Agent) e criar uma baseline de conclusões em todos os ambientes.
2. Priorizar a remediação para: agentes sem autenticação, partilha ao nível da organização, agentes com autenticação do maker e qualquer capacidade de email externo.
3. Rever o uso de HTTP Request e substituir por connectors governados sempre que possível; impor HTTPS e portas standard.
4. Limpar ativos dormentes/órfãos: desativar agentes/ações não utilizados e rodar/remover ligações desatualizadas.
5. Estabelecer guardrails operacionais: exigir ownership nominal, propósito documentado, ligações com least privilege e instruções obrigatórias para orquestração generativa.