Copilot Studio Security: 10 misconfigurazioni da correggere

Introduzione: perché è importante

Gli agenti di Copilot Studio stanno diventando rapidamente parte integrante dei flussi operativi—recuperano dati, attivano azioni e interagiscono con sistemi interni su larga scala. La stessa automazione crea anche nuovi percorsi di attacco quando gli agenti vengono condivisi in modo improprio, eseguiti con privilegi eccessivi o quando aggirano i controlli standard di governance. Il team di Defender Security Research di Microsoft sta osservando questi problemi “in the wild”, spesso senza alert evidenti, rendendo essenziali la scoperta proattiva e la gestione della postura.

Novità: 10 rischi comuni degli agenti di Copilot Studio (e come rilevarli)

Microsoft ha pubblicato una lista pratica delle 10 principali configurazioni errate degli agenti e ha mappato ciascuna a Microsoft Defender Advanced Hunting Community Queries (Security portal → Advanced hunting → Queries → Community queries → cartella AI Agent). I rischi principali includono:

1. Condivisione troppo ampia (intera organizzazione o gruppi grandi) – amplia la superficie di attacco e abilita utilizzi non intenzionali.
2. Nessuna autenticazione richiesta – crea punti di ingresso pubblici/anonimi e potenziali perdite di dati.
3. Azioni HTTP Request rischiose – chiamate a endpoint dei connector, non-HTTPS o porte non standard possono aggirare la governance dei connector e i controlli su identità.
4. Percorsi di esfiltrazione dati via email – agenti che inviano email a valori controllati dall’AI o a mailbox esterne possono abilitare esfiltrazione guidata da prompt injection.
5. Agenti/azioni/connessioni inattivi – componenti obsoleti diventano una superficie di attacco nascosta con privilegi residui.
6. Autenticazione dell’autore (maker) – indebolisce la separation of duties e può abilitare privilege escalation.
7. Credenziali hard-coded in topic/azioni – aumenta la probabilità di leakage e riutilizzo delle credenziali.
8. Strumenti Model Context Protocol (MCP) configurati – possono introdurre percorsi di accesso non documentati e interazioni di sistema non intenzionali.
9. Generative orchestration senza istruzioni – rischio più elevato di deriva del comportamento e abuso dei prompt.
10. Agenti orfani (nessun owner attivo) – governance debole e accesso non gestito nel tempo.

Impatto per gli amministratori IT e i team di sicurezza

• Gap di visibilità: queste configurazioni errate spesso non sembrano malevole durante la creazione e potrebbero non attivare alert tradizionali.
• Esposizione di identità e dati: accesso non autenticato, credenziali del maker e condivisione ampia possono trasformare un agente in un pivot a basso attrito verso i dati aziendali.
• Bypass della governance: azioni HTTP dirette possono eludere le protezioni dei connector di Power Platform (validazione, throttling, applicazione dell’identità).
• Rischio operativo: agenti orfani o inattivi preservano logica di business e accesso molto dopo che ownership e intent non sono più chiari.

Azioni consigliate / prossimi passi

1. Esegui ora le AI Agent Community Queries e crea una baseline dei risultati (parti da: condivisione a tutta l’organizzazione, agenti senza autenticazione, author authentication, credenziali hard-coded).
2. Rafforza condivisione e autenticazione: applica il principio del least privilege e richiedi autenticazione per tutti gli agenti in produzione.
3. Rivedi l’uso di HTTP Request: preferisci connector governati; segnala non-HTTPS e porte non standard per remediation immediata.
4. Controlla gli scenari di email in uscita: limita i destinatari esterni, valida gli input dinamici e monitora pattern in stile prompt injection.
5. Definisci una governance del ciclo di vita: inventaria gli agenti, rimuovi o assegna un nuovo owner agli agenti orfani e dismetti connessioni/azioni inattive.

Trattando la configurazione degli agenti come parte della tua postura di sicurezza—e facendo hunting continuo di questi pattern—puoi ridurre l’esposizione prima che gli attaccanti la rendano operativa.