Copilot Studio-agenter: 10 fejlkonfigurationer nu

Introduktion: hvorfor det betyder noget

Copilot Studio-agenter bliver hurtigt indlejret i driftsworkflows—de henter data, udløser handlinger og interagerer med interne systemer i stor skala. Den samme automatisering skaber også nye angrebsveje, når agenter deles forkert, kører med for høje privilegier eller omgår standard governance-kontroller. Microsofts Defender Security Research-team ser disse problemer “in the wild”, ofte uden tydelige alarmer, hvilket gør proaktiv opdagelse og løbende posture management afgørende.

Hvad er nyt: 10 almindelige Copilot Studio-agentrisici (og sådan opdager du dem)

Microsoft har publiceret en praktisk top-10-liste over fejlkonfigurationer for agenter og knyttet hver enkelt til Microsoft Defender Advanced Hunting Community Queries (Security portal → Advanced hunting → Queries → Community queries → AI Agent folder). Centrale risici omfatter:

1. For bred deling (hele organisationen eller store grupper) – udvider angrebsfladen og muliggør utilsigtet brug.
2. Ingen godkendelse kræves – skaber offentlige/anonyme indgangspunkter og potentiel datalækage.
3. Risikable HTTP Request-actions – kald til connector-endpoints, ikke-HTTPS eller ikke-standardporte kan omgå connector governance og identitetskontroller.
4. Email-baserede dataeksfiltrationsveje – agenter, der sender email til AI-styrede værdier eller eksterne mailbokse, kan muliggøre prompt-injection-drevet eksfiltration.
5. Inaktive agenter/actions/connections – forældede komponenter bliver en skjult angrebsflade med vedvarende privilegier.
6. Author (maker) authentication – undergraver adskillelse af pligter og kan muliggøre privilege escalation.
7. Hard-coded credentials i topics/actions – øger sandsynligheden for credential leakage og genbrug.
8. Model Context Protocol (MCP) tools konfigureret – kan introducere udokumenterede adgangsveje og utilsigtede systeminteraktioner.
9. Generative orchestration uden instruktioner – højere risiko for afvigende adfærd og prompt-misbrug.
10. Orphaned agents (ingen aktiv ejer) – svag governance og uadministreret adgang over tid.

Betydning for IT-admins og sikkerhedsteams

• Synlighedsgab: Disse fejlkonfigurationer ser ofte ikke ondsindede ud ved oprettelse og udløser muligvis ikke traditionelle alarmer.
• Eksponering af identitet og data: Uautentificeret adgang, maker-credentials og bred deling kan gøre en agent til et friktionsløst pivot ind i organisatoriske data.
• Omgåelse af governance: Direkte HTTP-actions kan omgå Power Platform connector-beskyttelser (validering, throttling, identitetshåndhævelse).
• Operationel risiko: Orphaned eller inaktive agenter bevarer forretningslogik og adgang længe efter, at ejerskab og formål er uklare.

Action items / næste skridt

1. Kør AI Agent Community Queries nu, og lav en baseline af resultaterne (start med: org-wide sharing, no-auth agents, author authentication, hard-coded credentials).
2. Stram deling og godkendelse: håndhæv least-privilege access, og kræv authentication for alle produktionsagenter.
3. Gennemgå brug af HTTP Request: foretræk governed connectors; flag ikke-HTTPS og ikke-standardporte til øjeblikkelig afhjælpning.
4. Kontrollér scenarier for udgående email: begræns eksterne modtagere, valider dynamiske inputs, og overvåg for prompt-injection-lignende mønstre.
5. Etabler lifecycle governance: lav inventory over agenter, fjern eller tildel ny ejer til orphaned agents, og afvikl inaktive connections/actions.

Ved at behandle agentkonfiguration som en del af din security posture—og løbende jagte disse mønstre—kan du reducere eksponeringen, før angribere operationaliserer den.