AutoJack: מיקרוסופט חושפת כיצד דף זדוני אחד משתלט על סוכן AI ומבצע קוד זדוני

1. אמון עיוור ב-localhost

ה-MCP WebSocket קיבל את כל התעבורה מממשק הלולאה החוזרת (127.0.0.1) ככזו שאפשר לסמוך עליה באופן מהותי. המערכת לא אימתה האם הבקשה הגיעה מסוכן ה-AI הלגיטימי או מתוכן אינטרנט זדוני שהסוכן טען . מכיוון שהסוכן עצמו פועל באופן מקומי, כל דף אינטרנט שנטען על ידו יכול היה לשלוח הודעות WebSocket שה-MCP התייחס אליהן כאילו הגיעו ממקור מקומי מהימן.

2. היעדר אימות בנקודת הקצה של WebSocket

ה-MCP WebSocket לא דרש אימות, אסימוני הפעלה או בדיקות מקור. כל תהליך מקומי - או כל סקריפט שפועל בתוך דף אינטרנט שנטען על ידי הסוכן - יכול היה להגיע ל-WebSocket ולשלוח פקודות ללא צורך בפרטי כניסה . המשמעות היא שלא הייתה דרך למערכת להבחין בין קריאות לגיטימיות לכלי הסוכן לבין הוראות זדוניות שהוזרקו על ידי דף האינטרנט של התוקף.

3. הפעלת תהליכים לא בטוחה מפקודות כלי

שירות MCP ביצע באופן עיוור פקודות כלי שהתקבלו דרך ה-WebSocket. הוא אפשר יצירת תהליכים שרירותית ללא ארגז חול, בדיקות הרשאות או אישור משתמש . ברגע שתוכן התוקף הגיע ל-WebSocket, הוא יכול היה להורות לשירות להריץ כל פקודה על המחשב המארח.

כאשר משולבות, שלוש חולשות אלו מאפשרות לדף אינטרנט להורות למנוע הגלישה של סוכן ה-AI להתחבר ל-MCP WebSocket, לשלוח פקודות כלי מותאמות ולבצע קוד שרירותי - הכל ללא לחיצה נוספת של המשתמש .

הגרסאות המושפעות וכיצד תוקנה הפגיעות

הפגיעות התקיימה רק בענף הפיתוח (development branch) של AutoGen Studio, ממשק הפרוטוטייפינג בקוד פתוח ל-AutoGen, המסגרת הרב-סוכנית של מיקרוסופט . הפגיעות מעולם לא נשלחה באף גרסת PyPI של AutoGen Studio או AutoGen עצמה . לאחר שמיקרוסופט דיווחה על הבעיה למתחזקי AutoGen דרך מרכז התגובה לאבטחה של מיקרוסופט (MSRC), התיקון יושם בענף הפיתוח . משתמשים מתבקשים לעדכן לגרסה העדכנית ביותר של AutoGen Studio כדי לקבל את התיקון . נכון למקורות הזמינים, לא דווח על מספר CVE לבעיה זו.

השלכות רחבות יותר לאבטחת סוכני AI

מעבר לפגיעות הספציפית, מיקרוסופט מדגישה כי AutoJack מדגימה סיכון ארכיטקטוני מהותי לכל מסגרת AI-סוכנית המשלבת גלישת אינטרנט עם גישה לכלים מקומיים . ארגז החול (sandbox) של הדפדפן תוכנן לבודד תוכן אינטרנט ממערכת ההפעלה. אך סוכן AI שיושב בתוך גבול האמון ופועל על תוכן שנטען, יוצר גשר מהאינטרנט הפתוח לפעולות מקומיות מוגנות .

מיקרוסופט מזהירה כי ההנחה המסורתית לפיה localhost הוא אזור אמון משתמע בטוח, אינה תקפה עוד כאשר מעורבים סוכני AI . החברה ממליצה שמסגרות AI-סוכניות יאמצו:

• אימות מפורש עבור כל נקודות הקצה של MCP, אפילו אלה שמאזינות על localhost
• אימות מקור (Origin validation) כדי להבטיח שרק הסוכן הלגיטימי יכול לשלוח פקודות
• בקרות גישה מבוססות יכולת המגבילות מה כל פקודת כלי יכולה לעשות
• ארגז חול לתהליכים עבור כל כלי שיכול להגיע למשאבי מערכת

פעם, localhost היה גבול אבטחה. עם סוכני AI הגולשים באינטרנט הפתוח, הוא הפך למשטח תקיפה.