Microsoft 365 KI-Agenten Inventar
Jemand hat an einem Nachmittag einen Agenten gebaut. Er liest die Finanz-Website.
Agenten kommen mit Herstellerprodukten, werden von Mitarbeitern an einem Nachmittag in Copilot Studio gebaut und erben, was ihr Ersteller oder ihre Blaupause erreichen konnte - niemand hat es bewusst erteilt. In einem typischen Mandanten am Beginn eines Copilot-Rollouts finden wir bereits Dutzende Agenten, und eine Handvoll davon kann Hunderttausende Dateien lesen. 1Security führt jeden Copilot-, Entra- und Foundry-Agenten in einem Microsoft 365 KI-Agenten Inventar zusammen und zählt pro Agent die Benutzer, Dateien, Websites und Postfächer, die er tatsächlich erreicht.
- 4Reichweitenzahlen pro Agent - die Benutzer, Dateien, Websites und E-Mails, auf die er tatsächlich zugreifen kann
- 3Agentenquellen in einer Liste zusammengeführt - Copilot Studio, Entra Agent ID, Azure AI Foundry
- 9Wissensquellentypen, aufgelöst zu echten Websites und Postfächern - SharePoint, OneDrive, Teams, E-Mail, Websites, Graph-Connectors, Dataverse, Personen, Besprechungen
Das Problem
Eine neue Belegschaft, von niemandem eingearbeitet
Agenten sind Identitäten. Niemand hat sie eingestellt, niemand prüft sie, und sie behalten ihre Berechtigungen, bis es jemandem auffällt.
Wer in Copilot Studio einen Agenten baut, denkt an eine Aufgabe, nicht an Zugriffskontrolle. Der Agent erbt, was der Ersteller erreichen konnte oder was seine Blaupause deklariert hat, und die Lücke zwischen "ich habe einen kleinen Assistenten gebaut" und "dieses Ding kann die Finanz-Website lesen" ist aus dem Werkzeug heraus, das ihn erzeugt hat, unsichtbar.
Das Manifest zu lesen schließt diese Lücke nicht. Eine deklarierte Berechtigung wie Sites.Read.All benennt eine Kategorie, keine Konsequenz. Governance braucht die Liste: welche Websites, welche Dateien, wie viele davon regulierte Daten tragen und über welchen Kanal der Zugriff kommt. Agenten kommen aus mehreren Quellen - Copilot Studio, Entra Agent ID, Azure AI Foundry, Herstellerprodukte - jede mit eigenem Modell und eigenen Tags. 1Security führt sie in einer Liste zusammen und ergänzt die Reichweite.
1Security löst das für jeden Agenten im Mandanten auf, egal ob er aus Copilot Studio, Agent Builder, Entra Agent ID, Foundry oder einem Herstellerprodukt stammt, und behält die Blaupausen im Blick - damit eine Prüfung der Vorlage die fünfzig daraus gestanzten Agenten abdeckt.
Was Sie bekommen
Jeder Agent mit dem, was er tatsächlich lesen kann
Instanzen sind der Ort, an dem Reichweite real ist. Blaupausen sind der Ort, an dem eine Prüfung viele Agenten abdeckt.
Die Bestandsaufnahme
Jede Agenteninstanz im Mandanten - vom Hersteller geliefert, von Mitarbeitern gebaut oder mit einem lizenzierten Produkt gebündelt - mit Ersteller, Blaupause und der Angabe, ob ihr Konto überhaupt aktiviert ist. Meist mehr, als irgendjemand im Sicherheitsteam erwartet hat.
Reichweite in Zahlen
Benutzer, Dateien, Websites und E-Mails, auf die jeder Agent zugreifen kann, plus ein Kennzeichen für sensible Daten. Nach erreichbaren Dateien sortiert, entfällt der Großteil der Exposition auf eine Handvoll Agenten.
Dateizugriffskanal
Mandantenweit, delegiert mit Admin-Zustimmung, explizite Erteilung oder keiner; E-Mail-Zugriff genauso klassifiziert. Der Mechanismus des Zugriffs, nicht das Marketing.
Blaupausen als Governance-Objekt
Herausgeber, Verifizierungsstatus, deklarierte Berechtigungen und wie viele davon auf Instanzen kaskadieren. Eine nicht verifizierte Blaupause kann Elternteil von fünfzig Agenten sein.
Wissensquellen und Fähigkeiten
SharePoint, OneDrive, Teams, E-Mail, Websites, Graph-Connectors, Dataverse, Personen und Besprechungen, aufgelöst zu echten Websites und Postfächern - plus ob der Agent das Web durchsuchen, Code ausführen, Bilder erzeugen oder Aktionen auslösen kann.
Direkt, geerbt, blockiert
Jede atomare Berechtigung mit ihrer Quelle und dem Kennzeichen "für Agenten blockiert" - so sehen Sie, was ein Agent bekommen hat, was er aufgesammelt hat und was Sie ihm ausdrücklich verweigert haben.
Wie tief es geht
Von "hat Sites.Read.All" zu einer Liste von Websites
Öffnen Sie einen Agenten, und die Registerkarten Dateien, Websites, Benutzer und E-Mails zeigen genau, was er erreicht und über welchen Kanal oder welche Wissensquelle.
Das Tor vor dem Rollout: Dateizugriff mandantenweit + sensible Daten in Reichweite filtern. Jeder Agent auf dieser Liste kann regulierte Inhalte jedem zitieren, der mit ihm chattet. In einem mittleren Mandanten ist es meist eine kurze Liste - und der ganze Sinn ist, sie zu sehen, bevor Mitarbeiter Fragen stellen.
Die Lieferkettenprüfung: in Blaupausen nicht verifizierte Herausgeber + mit Agenten filtern. Das sind ungeprüfte Vorlagen Dritter, die bereits in Ihrem Mandanten laufen, und die Zahl der kaskadierenden Berechtigungen sagt, wie viel jede davon nach unten weitergibt.
Lesen-und-handeln-Risiko: Agenten mit der Fähigkeit Aktionen + E-Mail-Zugriff. Diese Kombination ist der Punkt, an dem Prompt Injection aufhört, Theorie zu sein - der Agent kann nicht vertrauenswürdige Inhalte aufnehmen und dann etwas damit tun. Sie verdient eine andere Prüfung als ein Website-Zusammenfasser.
In der Praxis
Wie ein kontrollierter Rollout abläuft
Erst Reichweite, dann Leitplanken, dann Freischaltung. Die Reihenfolge zählt mehr als das Werkzeug.
- 01
Bestandsaufnahme machen
Öffnen Sie Agenten. Die Liste erscheint mit Ersteller, Blaupause, Status und Reichweitenzahlen - typischerweise einschließlich Agenten, von denen niemand im Sicherheitsteam wusste.
- 02
Nach erreichbaren Dateien sortieren
Absteigend sortieren, den Filter für sensible Daten setzen. In den meisten Mandanten halten fünf bis zehn Agenten den Großteil der Exposition; das ist die erste Prüfung.
- 03
Die Daten reparieren, nicht nur den Agenten
Der Großteil überzogener Agentenreichweite ist geerbtes Oversharing. Lassen Sie die "Jeder"-Links ablaufen und stutzen Sie die Website-Berechtigungen darunter, und jeder Agent, der davon erbt, ist auf einen Schlag begrenzt.
- 04
Blockieren, dann verifizieren
Legen Sie fest, welche Berechtigungen Agenten nicht halten dürfen, und prüfen Sie, dass die Blockierung in der Zeile neben direkten und geerbten Berechtigungen erscheint. Eine Leitplanke, die Sie nicht verifiziert haben, ist ein Richtliniendokument.
Was 1Security hinzufügt
Eine Population, eine Liste, mit Reichweite
Agenten entstehen an mehreren Stellen. 1Security verwaltet sie als eine Population und ergänzt, was jeder tatsächlich lesen kann.
- Copilot-, Entra Agent ID-, Azure AI Foundry- und Drittanbieter-Agenten in einem Inventar
- Die konkreten Dateien und Websites hinter einem deklarierten Berechtigungsbereich, gezählt
- Ob sensible Daten in der Reichweite jedes Agenten liegen
- Blaupausen mit Herausgeberüberprüfung und den Berechtigungen, die auf Instanzen kaskadieren
- Direkte, geerbte und blockierte Berechtigungen getrennt dargestellt
- Pro Agent deklarierte Wissensquellen, aufgelöst zu echten Websites und Postfächern
- Agenten, deren Ersteller gegangen oder deren Konto deaktiviert ist, die aber weiterhin Berechtigungen halten
- Fähigkeitskennzeichen - Websuche, Code-Interpreter, Bilderzeugung, Aktionen
Skalierung
Agenten vermehren sich schneller als Prüfungen
Eine Blaupause ist in Sekunden kopiert. Governance pro Instanz verliert sofort - deshalb ist die Vorlagenebene hier ein Governance-Objekt und kein Nachgedanke. Die Reichweitenzahlen kommen aus demselben Berechtigungsgraphen, der bereits Benutzer und Apps auflöst - dem, der auf Mandanten mit über 40 Millionen Dateien läuft.
- 2getrennt verwaltete Ebenen - Agenteninstanzen und die Blaupausen, aus denen sie stammen
- 1Agent 365 Lizenz auf dem verbindenden Admin schaltet den Copilot-Agentenkatalog frei; Entra-Agenten brauchen nichts weiter
- 0Schreibberechtigungen nötig für die Bestandsaufnahme - Blockierungen sind ein bewusster zweiter Schritt
Verwandt
Wo das hineinpasst
Agentenreichweite ist geerbte Reichweite. Fast jeder Befund auf diesem Bildschirm löst sich in den Datei- und Website-Berechtigungen darunter auf - deshalb sind das KI-Gespräch und das Oversharing-Gespräch dasselbe Gespräch.
Copilot-Sicherheit
Was Microsoft 365 Copilot selbst lesen würde - die Rollout-Sicht auf dasselbe Problem.
Copilot ansehen →App-Governance
Die anderen nichtmenschlichen Identitäten: OAuth-Apps, Add-Ins und verwaltete Identitäten, mit dem Weg, auf dem jede an Daten kommt.
Apps ansehen →Dateiberechtigungen
Die Ebene, von der ein Agent erbt, und der schnellste Ort, ihn zu begrenzen.
Dateien ansehen →
FAQ
Fragen, die Teams zuerst stellen
Welche Agenten sind abgedeckt?
Copilot-Agenten aus Copilot Studio oder Agent Builder, Entra Agent ID-Agenten - einschließlich Azure AI Foundry-Builds und der früheren Generation, die als getaggte Dienstprinzipale existiert - und vom Hersteller gelieferte Agenten, die mit einem lizenzierten Produkt kommen. Das Inventar erfasst sie unabhängig davon, wo sie erstellt wurden.
Brauchen wir eine besondere Lizenz?
Entra-Backend-Agenten brauchen nichts über die standardmäßige schreibgeschützte Verbindung hinaus. Der Copilot-Agentenkatalog wird mit einer Agent 365 Lizenz gelesen - eine Lizenz, einzeln etwa 15 USD pro Benutzer und Monat, auf dem Admin-Konto, das 1Security verbindet, genügt. Ohne sie sagt 1Security das offen und scannt weiterhin die Entra-Seite.
Was ist eine Blaupause?
Die Vorlage, aus der eine Agenteninstanz gestanzt wird. Sie einmal zu prüfen - Herausgeber, Verifizierung, deklarierte Berechtigungen, wie viele davon kaskadieren - deckt jede daraus erzeugte Instanz ab; nur so hält Agenten-Governance mit der Agentenerstellung Schritt.
Kann ich einen Agenten wirklich daran hindern, etwas zu lesen?
Ja. Berechtigungen lassen sich für Agenten blockieren, und die Blockierung ist in der Agentenzeile neben den direkten und geerbten Berechtigungen nachprüfbar. Die dauerhaftere Lösung ist, das zugrunde liegende Oversharing zu beseitigen, denn das begrenzt alle Agenten auf einmal.
Was passiert mit Agenten, deren Ersteller gegangen ist?
Sie arbeiten weiter. Verwaiste Agenten haben ihren eigenen Filter, und die richtige Behandlung ist dieselbe wie bei einem verwaisten Dienstkonto: einen Verantwortlichen finden oder stilllegen - hinter demselben Prüffenster wie jede andere Aktion.
Machen Sie die Bestandsaufnahme vor dem Rollout.
Verbinden Sie schreibgeschützt, und jeder Agent im Mandanten erscheint noch am selben Tag mit seiner Reichweite - einschließlich derer, die an einem Nachmittag gebaut wurden.
Oder erfahren Sie aus einer generierten Antwort, was ein Agent lesen kann.