AI agents should not use MCP server tools without review
Dlaczego to jest ważne
Agenci Copilot Studio zintegrowani z zewnętrznymi serwerami MCP mogą wprowadzać ryzyko związane z łańcuchem dostaw, jeśli te punkty końcowe zostaną naruszone lub są niezaufane. Atakujący, który kontroluje serwer MCP, może manipulować zachowaniem agenta, wyodrębniać dane lub wykonywać nieautoryzowane działania. Przegląd wszystkich integracji serwerów MCP jest niezbędny do utrzymania kontroli nad agentami AI i ochrony organizacji przed lukami w zabezpieczeniach pochodzącymi od stron trzecich.
Co sprawdza Aether365
To sprawdzenie weryfikuje, czy jakikolwiek agent Copilot Studio w Twojej dzierżawie ma integracje narzędzi serwera MCP, które nie zostały poddane przeglądowi pod kątem zgodności z zabezpieczeniami. Jest wyświetlane w panelu Aether365 w kategorii "microsoft-365" z poziomem ważności Średni.
Jak naprawić
- Zaloguj się do portalu Microsoft Copilot Studio i przejdź do listy agentów.
- Dla każdego oznaczonego agenta otwórz go i wybierz kartę "Actions".
- Przejrzyj wszystkie wpisy serwerów MCP wymienione w sekcji "MCP Server Tools".
- Dla każdego serwera MCP potwierdź, że adres URL punktu końcowego należy do Twojej organizacji lub zaufanego partnera.
- Zweryfikuj, czy punkt końcowy jest hostowany w infrastrukturze, którą kontrolujesz, i używa protokołu HTTPS z odpowiednim uwierzytelnianiem.
- Jeśli serwer MCP nie spełnia tych kryteriów, usuń go z konfiguracji agenta.
- Rozważ zastąpienie narzędzi MCP niestandardowymi łącznikami Power Platform, które zapewniają egzekwowanie zasad DLP i kontrolę zarządzania.
Zgodność
- Nie dotyczy konkretnych ram zgodności. Jest to najlepsza praktyka bezpieczeństwa w zakresie zarządzania integracjami agentów AI.