Copilot Studio Agentsの設定ミス10選とDefender対策

はじめに: なぜ重要なのか

Copilot Studio agents は、データ取得、アクションのトリガー、内部システムとの大規模な連携など、運用ワークフローに急速に組み込まれつつあります。こうした自動化は一方で、agent の共有範囲が不適切だったり、過剰な権限で実行されたり、標準のガバナンス制御を迂回したりすると、新たな攻撃経路を生み出します。Microsoft の Defender Security Research チームは、これらの問題が「現場（in the wild）」で発生していることを確認しており、明確なアラートが出ないケースも多いため、プロアクティブな発見とポスチャ管理が不可欠です。

新情報: よくある Copilot Studio agent の 10 のリスク（と検出方法）

Microsoft は、agent の実用的な設定ミス Top 10 を公開し、それぞれを Microsoft Defender Advanced Hunting の Community Queries（Security portal → Advanced hunting → Queries → Community queries → AI Agent folder）にマッピングしました。主なリスクは次のとおりです。

1. 共有範囲が広すぎる（組織全体または大規模グループ）– 攻撃対象領域が拡大し、意図しない利用を招きます。
2. 認証不要 – 公開/匿名の入口となり、データ漏えいにつながる可能性があります。
3. 危険な HTTP Request アクション – connector エンドポイントへの呼び出し、非 HTTPS、または標準外ポートは、connector のガバナンスやアイデンティティ制御を迂回し得ます。
4. メールを使ったデータ持ち出し経路 – AI により制御される値や外部メールボックスへ agent がメール送信できる場合、prompt injection に起因する exfiltration を可能にします。
5. 休眠中の agents/actions/connections – 古いコンポーネントが、権限を残したまま見えにくい攻撃対象領域になります。
6. 作成者（maker）認証 – 職務分離を弱め、特権昇格を可能にする恐れがあります。
7. トピック/アクション内の ハードコードされた資格情報 – 資格情報の漏えいや使い回しの可能性が高まります。
8. Model Context Protocol (MCP) ツールが構成済み – 文書化されていないアクセス経路や、意図しないシステム連携を持ち込む可能性があります。
9. 指示なしの Generative orchestration – 振る舞いのドリフトや prompt 悪用のリスクが高まります。
10. 孤立した agents（アクティブな所有者がいない）– ガバナンスが弱くなり、時間の経過とともに管理されないアクセスが残ります。

IT 管理者とセキュリティ チームへの影響

• 可視性のギャップ: これらの設定ミスは作成時点で悪意があるように見えにくく、従来のアラートでは検知されない場合があります。
• アイデンティティとデータの露出: 未認証アクセス、maker 資格情報、過度な共有は、agent を組織データへの低摩擦なピボットに変え得ます。
• ガバナンスの迂回: 直接の HTTP アクションは、Power Platform の connector 保護（validation、throttling、identity enforcement）を回避できてしまう可能性があります。
• 運用リスク: 孤立した agent や休眠中の agent は、所有者や意図が不明になった後も、ビジネス ロジックとアクセス権を維持します。

実施事項 / 次のステップ

1. AI Agent Community Queries を今すぐ実行して結果のベースラインを作成します（まずは: 組織全体への共有、認証なし agent、作成者認証、ハードコードされた資格情報）。
2. 共有と認証を強化: 最小権限アクセスを徹底し、本番用の agent にはすべて認証を必須化します。
3. HTTP Request の利用を見直す: ガバナンスされた connectors を優先し、非 HTTPS と標準外ポートは即時修復対象としてフラグ付けします。
4. 送信メールのシナリオを制御: 外部宛先を制限し、動的入力を検証し、prompt injection 風のパターンを監視します。
5. ライフサイクル ガバナンスを確立: agent を棚卸しし、孤立した agent は削除または所有者を再設定し、休眠中の connections/actions を廃止します。

agent の設定をセキュリティ ポスチャの一部として扱い、これらのパターンを継続的にハントすることで、攻撃者が運用に組み込む前に露出を低減できます。