Copilot Studio: 10 błędnych konfiguracji agentów

Wprowadzenie: dlaczego to ma znaczenie

Agenci Copilot Studio szybko stają się elementem wbudowanym w przepływy operacyjne — pobierają dane, wyzwalają akcje i wchodzą w interakcje z systemami wewnętrznymi na dużą skalę. Ta sama automatyzacja tworzy jednak nowe ścieżki ataku, gdy agenci są udostępniani zbyt szeroko, działają z nadmiernymi uprawnieniami lub omijają standardowe mechanizmy ładu (governance). Zespół Defender Security Research w Microsoft obserwuje te problemy „w terenie”, często bez oczywistych alertów, co sprawia, że proaktywne wykrywanie i zarządzanie posture staje się kluczowe.

Co nowego: 10 typowych ryzyk agentów Copilot Studio (i jak je wykrywać)

Microsoft opublikował praktyczną listę top 10 błędnych konfiguracji agentów i przypisał każdą z nich do Microsoft Defender Advanced Hunting Community Queries (Security portal → Advanced hunting → Queries → Community queries → folder AI Agent). Kluczowe ryzyka obejmują:

1. Zbyt szerokie udostępnianie (cała organizacja lub duże grupy) – zwiększa powierzchnię ataku i umożliwia niezamierzone użycie.
2. Brak wymogu uwierzytelnienia – tworzy publiczne/anonimowe punkty wejścia i ryzyko wycieku danych.
3. Ryzykowne akcje HTTP Request – wywołania do endpointów konektorów, użycie non-HTTPS lub niestandardowych portów mogą omijać governance konektorów oraz kontrolę tożsamości.
4. Ścieżki eksfiltracji danych przez e-mail – agenci wysyłający e-mail do wartości kontrolowanych przez AI lub do zewnętrznych skrzynek mogą umożliwiać eksfiltrację sterowaną prompt injection.
5. Uśpieni agenci/akcje/połączenia – przestarzałe komponenty stają się ukrytą powierzchnią ataku z utrzymującymi się uprawnieniami.
6. Uwierzytelnienie autora (maker) – osłabia rozdział obowiązków i może umożliwiać eskalację uprawnień.
7. Zakodowane na stałe poświadczenia w tematach/akcjach – zwiększają prawdopodobieństwo wycieku i ponownego użycia poświadczeń.
8. Skonfigurowane narzędzia Model Context Protocol (MCP) – mogą wprowadzać nieudokumentowane ścieżki dostępu i niezamierzone interakcje z systemami.
9. Orkiestracja generatywna bez instrukcji – wyższe ryzyko dryfu zachowania i nadużyć promptów.
10. Osieroceni agenci (brak aktywnego właściciela) – słabe governance i niezarządzany dostęp w czasie.

Wpływ na administratorów IT i zespoły security

• Luka w widoczności: te błędne konfiguracje często nie wyglądają na złośliwe w trakcie tworzenia i mogą nie uruchamiać tradycyjnych alertów.
• Ekspozycja tożsamości i danych: nieuwierzytelniony dostęp, poświadczenia maker oraz szerokie udostępnianie mogą zamienić agenta w „łatwy” pivot do danych organizacji.
• Omijanie governance: bezpośrednie akcje HTTP mogą obchodzić mechanizmy ochronne konektorów Power Platform (walidacja, throttling, wymuszanie tożsamości).
• Ryzyko operacyjne: osieroceni lub uśpieni agenci zachowują logikę biznesową i dostęp długo po tym, gdy właścicielstwo i intencja są niejasne.

Działania / kolejne kroki

1. Uruchom teraz AI Agent Community Queries i ustal bazę wyników (zacznij od: udostępnianie w całej organizacji, agenci bez uwierzytelnienia, uwierzytelnienie autora, zakodowane na stałe poświadczenia).
2. Zaostrz udostępnianie i uwierzytelnianie: wymuszaj zasadę najmniejszych uprawnień i wymagaj uwierzytelnienia dla wszystkich agentów produkcyjnych.
3. Przejrzyj użycie HTTP Request: preferuj konektory objęte governance; oznacz non-HTTPS i niestandardowe porty do natychmiastowej naprawy.
4. Kontroluj scenariusze wychodzącej poczty: ogranicz zewnętrznych odbiorców, waliduj dynamiczne dane wejściowe i monitoruj wzorce w stylu prompt-injection.
5. Ustanów governance cyklu życia: zinwentaryzuj agentów, usuń lub przypisz na nowo właściciela osieroconym agentom oraz wycofaj uśpione połączenia/akcje.

Traktując konfigurację agentów jako element posture bezpieczeństwa — i stale polując na te wzorce — możesz zmniejszyć ekspozycję, zanim atakujący zaczną je wykorzystywać operacyjnie.