AutoJack: सिर्फ एक वेबपेज खोलने से AI एजेंट बन सकता है हैकर्स का हथियार

1. लोकलहोस्ट पर अंधा भरोसा

MCP WebSocket लूपबैक इंटरफ़ेस (127.0.0.1) से आने वाले सभी ट्रैफ़िक को विश्वसनीय मानकर स्वीकार करता था। यह जाँच नहीं करता था कि अनुरोध वास्तव में वैध एजेंट से आया है या हमलावर द्वारा नियंत्रित किसी वेब कंटेंट से जिसे एजेंट ने रेंडर किया था । चूँकि एजेंट स्वयं स्थानीय रूप से चलता है, इसलिए एजेंट द्वारा लोड किया गया कोई भी वेबपेज WebSocket संदेश भेज सकता था, जिसे MCP सेवा विश्वसनीय स्थानीय स्रोत से आया हुआ मान लेती थी।

2. WebSocket एंडपॉइंट पर प्रमाणीकरण का अभाव

MCP WebSocket पर किसी भी प्रकार के प्रमाणीकरण, सत्र टोकन, या ओरिजिन चेक की आवश्यकता नहीं थी। कोई भी स्थानीय प्रक्रिया — या एजेंट द्वारा रेंडर किए गए वेबपेज के अंदर चलने वाली कोई भी स्क्रिप्ट — बिना किसी क्रेडेंशियल के WebSocket तक पहुँच सकती थी और कमांड भेज सकती थी । इसका मतलब था कि सेवा के लिए वैध एजेंट टूल कॉल और हमलावर के वेबपेज द्वारा इंजेक्ट किए गए दुर्भावनापूर्ण निर्देशों के बीच अंतर करने का कोई तरीका नहीं था।

3. टूल कमांड से असुरक्षित प्रोसेस स्पॉन करना

MCP सेवा WebSocket पर प्राप्त टूल कमांड को अंधाधुंध तरीके से निष्पादित करती थी। यह बिना किसी सैंडबॉक्सिंग, क्षमता जाँच, या उपयोगकर्ता पुष्टि के मनमाने प्रोग्राम बनाने की अनुमति देती थी । एक बार जब हमलावर का कंटेंट WebSocket तक पहुँच गया, तो यह सेवा को होस्ट पर कोई भी कमांड चलाने का निर्देश दे सकता था।

जब इन तीन कमजोरियों को मिला दिया जाता है, तो एक वेबपेज AI एजेंट की ब्राउज़िंग इंजन को MCP WebSocket से कनेक्ट करने, तैयार किए गए टूल कमांड भेजने, और मनमाना कोड निष्पादित करने का निर्देश दे सकता है — यह सब उपयोगकर्ता द्वारा कोई दूसरा बटन क्लिक किए बिना ।

प्रभावित बिल्ड और पैच कैसे लगा

यह कमजोरी केवल AutoGen Studio की डेवलपमेंट ब्रांच में मौजूद थी, जो माइक्रोसॉफ्ट के AutoGen मल्टी-एजेंट फ्रेमवर्क के लिए एक ओपन-सोर्स प्रोटोटाइपिंग UI है । यह कभी भी AutoGen Studio या AutoGen की किसी PyPI रिलीज़ में शामिल नहीं हुई । माइक्रोसॉफ्ट ने इस मुद्दे को माइक्रोसॉफ्ट सिक्योरिटी रिस्पॉन्स सेंटर (MSRC) के माध्यम से AutoGen मेंटेनर्स को रिपोर्ट किया, जिसके बाद डेवलपमेंट ब्रांच में फिक्स लागू किया गया । उपयोगकर्ताओं को पैच प्राप्त करने के लिए AutoGen Studio के नवीनतम संस्करण में अपडेट करने की सलाह दी जाती है । उपलब्ध स्रोतों के अनुसार, इस मुद्दे के लिए कोई CVE नंबर रिपोर्ट नहीं किया गया है।

AI एजेंट सिक्योरिटी के लिए व्यापक प्रभाव

विशिष्ट कमजोरी से परे, माइक्रोसॉफ्ट इस बात पर प्रकाश डालता है कि AutoJack किसी भी एजेंटिक AI फ्रेमवर्क के लिए एक बुनियादी आर्किटेक्चरल जोखिम को प्रदर्शित करता है जो वेब ब्राउज़िंग को स्थानीय टूल एक्सेस के साथ जोड़ता है । ब्राउज़र सैंडबॉक्स को वेब कंटेंट को ऑपरेटिंग सिस्टम से अलग करने के लिए डिज़ाइन किया गया था। लेकिन एक AI एजेंट जो ट्रस्ट बाउंड्री के अंदर बैठता है और रेंडर किए गए कंटेंट पर कार्य करता है, खुले वेब से विशेषाधिकार प्राप्त स्थानीय संचालन के लिए एक पुल बनाता है ।

माइक्रोसॉफ्ट चेतावनी देता है कि लोकलहोस्ट को एक सुरक्षित अंतर्निहित विश्वास क्षेत्र मानने की पारंपरिक धारणा अब मान्य नहीं रह जाती है जब एजेंट शामिल हों । कंपनी अनुशंसा करती है कि एजेंटिक AI फ्रेमवर्क निम्नलिखित अपनाएँ:

• सभी MCP एंडपॉइंट के लिए स्पष्ट प्रमाणीकरण, भले ही वे लोकलहोस्ट पर सुन रहे हों
• ओरिजिन वैलिडेशन ताकि यह सुनिश्चित किया जा सके कि केवल वैध एजेंट ही कमांड भेज सके
• क्षमता-आधारित एक्सेस कंट्रोल जो सीमित करें कि प्रत्येक टूल कमांड क्या कर सकता है
• प्रोसेस सैंडबॉक्सिंग किसी भी टूल के लिए जो सिस्टम संसाधनों तक पहुँच सकता है

लोकलहोस्ट एक सुरक्षा सीमा हुआ करता था। AI एजेंटों के साथ जो खुले वेब पर सर्फ करते हैं, यह अब एक अटैक सरफेस बन गया है।