Copilot Studio: 10 errores de configuración a detectar

Introducción: por qué esto importa

Los agentes de Copilot Studio se están integrando rápidamente en los flujos de trabajo operativos: extraen datos, desencadenan acciones e interactúan con sistemas internos a escala. Esa misma automatización también crea nuevas rutas de ataque cuando los agentes se comparten de forma incorrecta, se ejecutan con privilegios excesivos o eluden los controles de gobernanza estándar. El equipo de Defender Security Research de Microsoft está viendo estos problemas “en el mundo real”, a menudo sin alertas evidentes, por lo que el descubrimiento proactivo y la gestión de la postura son esenciales.

Qué hay de nuevo: 10 riesgos comunes en agentes de Copilot Studio (y cómo detectarlos)

Microsoft publicó una lista práctica con las 10 principales configuraciones incorrectas de agentes y asignó cada una a Microsoft Defender Advanced Hunting Community Queries (Security portal → Advanced hunting → Queries → Community queries → carpeta AI Agent). Los riesgos clave incluyen:

1. Uso compartido demasiado amplio (toda la organización o grupos grandes) – amplía la superficie de ataque y habilita usos no intencionados.
2. Sin autenticación requerida – crea puntos de entrada públicos/anónimos y posible fuga de datos.
3. Acciones de HTTP Request de riesgo – llamadas a endpoints de conectores, sin HTTPS o con puertos no estándar pueden eludir la gobernanza de conectores y los controles de identidad.
4. Rutas de exfiltración de datos basadas en email – agentes que envían email a valores controlados por IA o a buzones externos pueden habilitar exfiltración impulsada por prompt injection.
5. Agentes/acciones/conexiones inactivos – componentes obsoletos se convierten en una superficie de ataque oculta con privilegios persistentes.
6. Autenticación del autor (maker) – debilita la separación de funciones y puede habilitar escalamiento de privilegios.
7. Credenciales codificadas de forma rígida en temas/acciones – aumenta la probabilidad de filtración y reutilización de credenciales.
8. Herramientas de Model Context Protocol (MCP) configuradas – pueden introducir rutas de acceso no documentadas e interacciones no intencionadas con sistemas.
9. Orquestación generativa sin instrucciones – mayor riesgo de deriva de comportamiento y abuso de prompts.
10. Agentes huérfanos (sin propietario activo) – gobernanza débil y acceso no administrado con el tiempo.

Impacto para administradores de TI y equipos de seguridad

• Brecha de visibilidad: Estas configuraciones incorrectas a menudo no parecen maliciosas durante la creación y pueden no activar alertas tradicionales.
• Exposición de identidad y datos: El acceso sin autenticación, las credenciales del maker y el uso compartido amplio pueden convertir un agente en un pivote de baja fricción hacia los datos de la organización.
• Evasión de la gobernanza: Las acciones HTTP directas pueden eludir las protecciones de conectores de Power Platform (validación, limitación, aplicación de identidad).
• Riesgo operativo: Los agentes huérfanos o inactivos conservan lógica de negocio y acceso mucho después de que la propiedad y la intención sean poco claras.

Elementos de acción / próximos pasos

1. Ejecuta las AI Agent Community Queries ahora y establece una línea base de resultados (empieza por: uso compartido en toda la organización, agentes sin autenticación, autenticación del autor, credenciales codificadas de forma rígida).
2. Endurece el uso compartido y la autenticación: aplica acceso de mínimo privilegio y exige autenticación para todos los agentes de producción.
3. Revisa el uso de HTTP Request: prioriza conectores gobernados; marca para corrección inmediata el tráfico sin HTTPS y los puertos no estándar.
4. Controla escenarios de email saliente: restringe destinatarios externos, valida entradas dinámicas y supervisa patrones de tipo prompt injection.
5. Establece gobernanza del ciclo de vida: inventaría agentes, elimina o reasigna propiedad a agentes huérfanos y retira conexiones/acciones inactivas.

Al tratar la configuración de agentes como parte de tu postura de seguridad —y buscar continuamente estos patrones— puedes reducir la exposición antes de que los atacantes los operativicen.