AI agents should not use MCP server tools without review
Por qué es importante
Los agentes de Copilot Studio integrados con servidores MCP externos pueden introducir riesgos en la cadena de suministro si esos puntos finales se ven comprometidos o no son de confianza. Un atacante que controle un servidor MCP podría manipular el comportamiento del agente, extraer datos o ejecutar acciones no autorizadas. Revisar todas las integraciones de servidores MCP es esencial para mantener el control sobre sus agentes de IA y proteger a su organización frente a vulnerabilidades de terceros.
Qué comprueba Aether365
Esta comprobación verifica si algún agente de Copilot Studio en su inquilino tiene integraciones de herramientas de servidor MCP que no se hayan revisado para cumplir con la seguridad. Aparece en el panel de Aether365 bajo la categoría "microsoft-365" con una gravedad Media.
Cómo solucionarlo
- Inicie sesión en el portal de Microsoft Copilot Studio y navegue hasta la lista de Agentes.
- Para cada agente marcado, ábralo y seleccione la pestaña "Actions".
- Revise todas las entradas de servidores MCP que aparecen en la sección "MCP Server Tools".
- Para cada servidor MCP, confirme que la URL del punto final pertenece a su organización o a un socio de confianza.
- Verifique que el punto final esté alojado en una infraestructura que usted controle y use HTTPS con la autenticación adecuada.
- Si un servidor MCP no cumple estos criterios, elimínelo de la configuración del agente.
- Considere reemplazar las herramientas MCP por conectores personalizados de Power Platform, que ofrecen cumplimiento de políticas DLP y controles de gobernanza.
Cumplimiento normativo
- No aplica a marcos de cumplimiento específicos. Se trata de una práctica recomendada de seguridad para gestionar integraciones de agentes de IA.