اختراق AutoJack: صفحة ويب واحدة تكفي لتنفيذ أوامر خبيثة على حاسوبك عبر وكيل الذكاء الاصطناعي

1. الثقة العمياء في localhost

يقبل WebSocket الخاص بـ MCP كل حركة المرور الواردة من واجهة الاسترجاع (127.0.0.1) على أنها موثوقة بطبيعتها. لم يتحقق مما إذا كان الطلب قد جاء بالفعل من الوكيل الشرعي أو من محتوى ويب يتحكم به المهاجم والذي قام الوكيل بعرضه . نظرًا لأن الوكيل يعمل محليًا، يمكن لأي صفحة ويب يتم تحميلها بواسطة الوكيل إرسال رسائل WebSocket يعاملها خدمة MCP كما لو كانت من مصدر محلي موثوق.

2. غياب المصادقة على نقطة نهاية WebSocket

لم يتطلب WebSocket الخاص بـ MCP أي مصادقة أو رموز جلسة أو فحوصات للمصدر. يمكن لأي عملية محلية - أو أي برنامج نصي يعمل داخل صفحة ويب يعرضها الوكيل - الوصول إلى WebSocket وإرسال الأوامر بدون بيانات اعتماد . هذا يعني عدم وجود طريقة للخدمة للتمييز بين استدعاءات أدوات الوكيل الشرعية والتعليمات الخبيثة التي يحقنها المهاجم من صفحة الويب.

3. تشغيل العمليات غير الآمن من أوامر الأدوات

تقوم خدمة MCP بتنفيذ أوامر الأدوات الواردة عبر WebSocket بشكل أعمى. تسمح بإنشاء عمليات عشوائية دون أي عزل (sandboxing) أو فحوصات للصلاحيات أو تأكيد من المستخدم . بمجرد وصول محتوى المهاجم إلى WebSocket، يمكنه توجيه الخدمة لتشغيل أي أمر على الجهاز المضيف.

عند دمجها، تسمح نقاط الضعف الثلاث هذه لصفحة ويب بتوجيه محرك التصفح الخاص بالوكيل الذكي للاتصال بـ WebSocket الخاص بـ MCP، وإرسال أوامر أدوات مصممة خصيصًا، وتنفيذ أكواد عشوائية - كل ذلك دون أن يضطر المستخدم إلى النقر على زر ثانٍ .

الإصدارات المتأثرة وكيفية المعالجة

كانت الثغرة موجودة فقط في فرع التطوير من AutoGen Studio، وهي واجهة النماذج الأولية مفتوحة المصدر لإطار عمل AutoGen متعدد الوكلاء من مايكروسوفت . لم يتم إطلاقها أبدًا في أي إصدار من إصدارات PyPI من AutoGen Studio أو AutoGen نفسه . بعد أن أبلغت مايكروسوفت بالقضية للقائمين على AutoGen عبر مركز استجابة أمن مايكروسوفت (MSRC)، تم تطبيق الإصلاح على فرع التطوير . يُنصح المستخدمون بتحديث AutoGen Studio إلى أحدث إصدار للحصول على التصحيح . لم يتم الإبلاغ عن رقم CVE لهذه المشكلة حتى وقت المصادر المتاحة.

تداعيات أوسع على أمن الوكلاء الذكيين

إلى جانب الثغرة المحددة، تسلط مايكروسوفت الضوء على أن AutoJack يوضح خطرًا بنيويًا أساسيًا لأي إطار عمل وكيل ذكي يجمع بين تصفح الويب والوصول إلى الأدوات المحلية . تم تصميم عزل المتصفح لعزل محتوى الويب عن نظام التشغيل. لكن الوكيل الذكي الذي يجلس داخل حدود الثقة ويتصرف بناءً على المحتوى المعروض يخلق جسرًا من الويب المفتوح إلى العمليات المحلية المميزة .

تحذر مايكروسوفت من أن الافتراض التقليدي بمعاملة localhost كمنطقة ثقة ضمنية آمنة لم يعد صحيحًا عند وجود وكلاء . توصي الشركة أُطر عمل الوكلاء الذكيين باعتماد:

• مصادقة صريحة لجميع نقاط نهاية MCP، حتى تلك التي تستمع على localhost
• التحقق من المصدر لضمان أن الوكيل الشرعي فقط هو من يمكنه إرسال الأوامر
• ضوابط وصول قائمة على الصلاحيات تحد مما يمكن أن يفعله كل أمر أداة
• عزل العمليات لأي أداة يمكنها الوصول إلى موارد النظام

اعتاد localhost أن يكون حدًا أمنيًا. مع وكلاء الذكاء الاصطناعي الذين يتصفحون الويب المفتوح، أصبح سطح هجوم.