La nueva función “Connected Agents” de Copilot Studio, presentada por Microsoft en Build 2025, está creando una importante vulnerabilidad de seguridad. Los atacantes ya la están explotando para obtener acceso de puerta trasera no autorizado a sistemas empresariales críticos. Connected Agents permite la integración de IA a IA, lo que permite a los agentes compartir funcionalidad y reutilizar la lógica en diferentes entornos. 

La nueva función “Connected Agents” de Microsoft, presentada en Copilot Studio en Build 2025, está creando una vulnerabilidad de seguridad significativa.

Los atacantes ya la están explotando para obtener acceso no autorizado a sistemas empresariales críticos.

Connected Agents habilita la integración de IA a IA, permitiendo a los agentes compartir funcionalidad y reutilizar lógica en diferentes entornos.

Aunque está diseñada para la eficiencia, similar a encapsular código repetido en funciones llamables, la función introduce vectores de ataque peligrosos cuando se configura incorrectamente o se utiliza de forma maliciosa.

Resumen del riesgo de seguridad de Connected Agents

Por defecto, Connected Agents está habilitado en todos los nuevos agentes en Copilot Studio.

Cuando se activa, la función expone el conocimiento, las herramientas y los temas de un agente a TODOS los demás agentes dentro del mismo entorno.

El problema es que no hay visibilidad integrada que muestre qué agentes se han conectado al tuyo, creando un punto ciego para la supervisión de la seguridad.

Según Zenity Labs, los atacantes están explotando esta brecha creando agentes maliciosos que se conectan a agentes legítimos con privilegios, especialmente aquellos con capacidades de envío de correo electrónico o acceso a datos comerciales confidenciales.

En demostraciones de concepto, los actores de amenazas han comprometido con éxito a agentes de soporte configurados para enviar correos electrónicos desde dominios oficiales de la empresa.

Habilitando ataques de phishing e impersonación a gran escala. Considera un agente de soporte equipado con herramientas de envío de correo electrónico.

Una amenaza interna o una cuenta comprometida crea un agente backdoor que se conecta a este agente legítimo y luego activa la funcionalidad de correo electrónico sin dejar rastros en los registros de actividad.

La invocación de Connected Agents no genera ningún mensaje en la pestaña de actividad del agente objetivo, evadiendo los mecanismos de auditoría estándar.

El atacante ahora puede enviar correos electrónicos suplantando a tu empresa a miles de destinatarios y destruir la reputación de la marca a través de la desinformación.

1Bloquear dominios mediante spam, todo mientras parece originarse desde tu infraestructura. Zenity Labs insta a las organizaciones a auditar inmediatamente los agentes que están actualmente en producción.

Desactiva Connected Agents en todos los agentes que contengan herramientas no autenticadas o fuentes de conocimiento confidenciales antes de publicarlos.

Implementa la autenticación de herramientas, asegurando que las acciones sensibles requieran credenciales explícitas del usuario, no permisos del propietario.

Para los agentes críticos para el negocio, desactiva por completo la función Connected Agents.

Revisa todas las fuentes de conocimiento y los canales de publicación, verificando que los usuarios actuales y futuros del entorno requieran legítimamente acceso a cada capacidad expuesta.

Zenity Labs también recomienda que Microsoft establezca esta función como desactivada por defecto en lugar de habilitada, trasladando la responsabilidad a los desarrolladores para que se activen en lugar de requerir un endurecimiento de la seguridad explícito y reactivo después de la publicación.

Hasta que surjan correcciones integrales, tratar cualquier agente con Connected Agents habilitado como accesible públicamente es esencial para la defensa.