AI agents should not use MCP server tools without review
Pourquoi c'est important
Les agents Copilot Studio intégrés à des serveurs MCP externes peuvent introduire des risques liés à la chaîne d'approvisionnement si ces points d'accès sont compromis ou non fiables. Un attaquant contrôlant un serveur MCP pourrait manipuler le comportement de l'agent, exfiltrer des données ou exécuter des actions non autorisées. L'examen de toutes les intégrations de serveurs MCP est essentiel pour conserver le contrôle de vos agents IA et protéger votre organisation contre les vulnérabilités tierces.
Ce que vérifie Aether365
Cette vérification détermine si des agents Copilot Studio dans votre locataire intègrent des outils serveur MCP qui n'ont pas été examinés pour la conformité de sécurité. Elle apparaît dans le tableau de bord Aether365 sous la catégorie "microsoft-365" avec une sévérité Moyenne.
Comment corriger
- Connectez-vous au portail Microsoft Copilot Studio et accédez à la liste des Agents.
- Pour chaque agent signalé, ouvrez l'agent et sélectionnez l'onglet "Actions".
- Examinez toutes les entrées de serveur MCP listées dans la section "MCP Server Tools".
- Pour chaque serveur MCP, confirmez que l'URL de point d'accès appartient à votre organisation ou à un partenaire de confiance.
- Vérifiez que le point d'accès est hébergé sur une infrastructure que vous contrôlez et utilise HTTPS avec une authentification appropriée.
- Si un serveur MCP ne répond pas à ces critères, supprimez-le de la configuration de l'agent.
- Envisagez de remplacer les outils MCP par des connecteurs personnalisés Power Platform, qui offrent une application des stratégies DLP et des contrôles de gouvernance.
Conformité
- Non applicable à des cadres de conformité spécifiques. Il s'agit d'une bonne pratique de sécurité pour la gestion des intégrations d'agents IA.