AutoJack: แค่เปิดเว็บเพจเดียว ก็แฮกเครื่องผ่าน AI Agent ของคุณได้

1. การเชื่อใจ localhost อย่างไม่ลืมหูลืมตา

MCP WebSocket ยอมรับทราฟฟิกทั้งหมดจาก loopback interface (127.0.0.1) ว่าเป็นสิ่งที่เชื่อถือได้โดยปริยาย โดยไม่ตรวจสอบว่าคำขอนั้นมาจาก Agent ที่ถูกต้องตามกฎหมายหรือมาจากเนื้อหาเว็บที่เป็นอันตรายซึ่ง Agent นั้นกำลังเรนเดอร์อยู่ เพราะ Agent รันอยู่ในเครื่องอยู่แล้ว เว็บเพจใดก็ตามที่ Agent โหลดเข้ามาก็สามารถส่งข้อความ WebSocket ที่ MCP service จะตีความว่ามาจากแหล่งที่เชื่อถือได้ในเครื่อง

2. การไม่มีการยืนยันตัวตนบน WebSocket endpoint

MCP WebSocket ไม่ต้องการการยืนยันตัวตน, โทเค็นเซสชัน หรือการตรวจสอบที่มา (origin) โปรเซสในเครื่องใด หรือสคริปต์ใดก็ตามที่รันอยู่ในเว็บเพจที่ Agent เรนเดอร์อยู่ ก็สามารถเข้าถึง WebSocket และส่งคำสั่งได้โดยไม่ต้องใช้ข้อมูลประจำตัว นั่นหมายความว่า service ไม่มีทางแยกแยะได้ว่าคำสั่งเครื่องมือ (tool calls) ที่ถูกต้องตามกฎหมาย กับคำแนะนำที่เป็นอันตรายที่ถูกสอดแทรกโดยเว็บเพจของผู้โจมตี

3. การรันโปรแกรมจากคำสั่งเครื่องมืออย่างไม่ปลอดภัย

MCP service ดำเนินการคำสั่งเครื่องมือที่ได้รับผ่าน WebSocket อย่างสุ่มสี่สุ่มห้า โดยอนุญาตให้สร้างโปรเซสตามอำเภอใจ โดยไม่มี Sandboxing, การตรวจสอบความสามารถ หรือการยืนยันจากผู้ใช้เลย เมื่อผู้โจมตีเข้าถึง WebSocket ได้แล้ว ก็สามารถสั่งให้ service รันคำสั่งใดๆ บนเครื่องโฮสต์ได้

เมื่อรวมจุดอ่อนทั้งสามนี้เข้าด้วยกัน เว็บเพจสามารถสั่งให้ AI Agent ใช้เอ็นจินเบราว์ซิ่งเชื่อมต่อไปยัง MCP WebSocket ส่งคำสั่งเครื่องมือที่ถูกปรุงแต่ง และรันโค้ดตามอำเภอใจ โดยที่ผู้ใช้ไม่ต้องคลิกปุ่มใด ๆ เพิ่มเติมเลย

บิลด์ที่ได้รับผลกระทบและวิธีการแก้ไข

ช่องโหว่นี้มีอยู่ใน development branch ของ AutoGen Studio ซึ่งเป็น UI ต้นแบบโอเพนซอร์สสำหรับเฟรมเวิร์ก Agent หลายตัวของไมโครซอฟท์เท่านั้น มันไม่เคยถูกปล่อยใน PyPI release ใดๆ ของ AutoGen Studio หรือ AutoGen เอง หลังจากไมโครซอฟท์รายงานปัญหาให้ผู้ดูแล AutoGen ทราบผ่าน Microsoft Security Response Center (MSRC) ก็ได้มีการแก้ไขใน development branch ผู้ใช้ควรอัปเดต AutoGen Studio เป็นเวอร์ชันล่าสุดเพื่อรับแพตช์ดังกล่าว ยังไม่มีรายงานหมายเลข CVE สำหรับปัญหานี้จากแหล่งข้อมูลที่มีอยู่

ผลกระทบในวงกว้างต่อความปลอดภัยของ AI Agent

นอกเหนือจากช่องโหว่เฉพาะนี้ ไมโครซอฟท์ชี้ให้เห็นว่า AutoJack แสดงให้เห็นถึง ความเสี่ยงทางสถาปัตยกรรมขั้นพื้นฐาน สำหรับเฟรมเวิร์ก AI แบบ Agent ใดๆ ที่ผสมผสานการท่องเว็บเข้ากับการเข้าถึงเครื่องมือในเครื่อง

Sandbox ของเบราว์เซอร์ถูกออกแบบมาเพื่อแยกเนื้อหาจากเว็บออกจากระบบปฏิบัติการ แต่ AI Agent ที่นั่งอยู่ ภายใน ขอบเขตความน่าเชื่อถือ (trust boundary) และดำเนินการกับเนื้อหาที่ถูกเรนเดอร์ กลับสร้างสะพานเชื่อมจากโลกเปิดของอินเทอร์เน็ตไปสู่การทำงานที่มีสิทธิพิเศษในเครื่อง

ไมโครซอฟท์เตือนว่าสมมติฐานดั้งเดิมที่มองว่า localhost เป็นโซนปลอดภัยที่เชื่อถือได้โดยปริยายนั้นใช้ไม่ได้อีกต่อไปเมื่อมี Agent มาเกี่ยวข้อง บริษัทแนะนำให้เฟรมเวิร์ก AI แบบ Agent นำมาตรการดังต่อไปนี้มาใช้:

• การยืนยันตัวตนที่ชัดเจน (Explicit authentication) สำหรับ MCP endpoint ทุกแห่ง แม้แต่ที่กำลังฟังอยู่บน localhost
• การตรวจสอบที่มา (Origin validation) เพื่อให้แน่ใจว่ามีเพียง Agent ที่ถูกต้องเท่านั้นที่สามารถส่งคำสั่งได้
• การควบคุมการเข้าถึงตามความสามารถ (Capability-based access controls) เพื่อจำกัดว่าแต่ละคำสั่งเครื่องมือสามารถทำอะไรได้บ้าง
• การทำ Sandbox สำหรับโปรเซส (Process sandboxing) สำหรับเครื่องมือใดๆ ที่สามารถเข้าถึงทรัพยากรระบบได้

Localhost เคยเป็นขอบเขตความปลอดภัย แต่ในยุคที่ AI Agent ท่องเว็บเปิด มันกลายเป็นพื้นผิวการโจมตีไปแล้ว