AutoJack: Як одна шкідлива вебсторінка може перетворити вашого AI-агента на інструмент для RCE

Дослідницька команда Microsoft Defender Security Research Team оприлюднила нову експлойт-ланку під назвою AutoJack, яка перетворює одну шкідливу вебсторінку на вектор віддаленого виконання коду (RCE), коли її рендерить AI-агент, що працює в AutoGen Studio . Дослідження, опубліковане 18 червня 2026 року, показує, як зловмисник може зловживати локальним WebSocket-з'єднанням протоколу MCP (Model Context Protocol), щоб запускати довільні процеси на хості без будь-якої додаткової взаємодії з користувачем . Ось що сталося, які слабкі місця були використані та чому екосистемі AI-агентів варто звернути на це увагу.

Три слабкі місця, які зробили AutoJack можливим

AutoJack поєднує в собі три конкретні недоліки в реалізації MCP WebSocket в AutoGen Studio :

1. Сліпа довіра до localhost

MCP WebSocket приймав увесь трафік з інтерфейсу loopback (127.0.0.1) як такий, що заслуговує на довіру. Він не перевіряв, чи насправді запит надійшов від легітимного агента, чи від контрольованого зловмисником веб-контенту, який агент відрендерив . Оскільки сам агент працює локально, будь-яка вебсторінка, завантажена агентом, могла надсилати WebSocket-повідомлення, які MCP-сервіс сприймав як такі, що надійшли від надійного локального джерела.

2. Відсутність автентифікації на WebSocket-ендпойнті

MCP WebSocket не вимагав жодної автентифікації, токенів сесії чи перевірки походження (Origin). Будь-який локальний процес — або будь-який скрипт, що виконується у вебсторінці, відрендереній агентом — міг підключитися до WebSocket і надсилати команди без облікових даних . Це означало, що сервіс не мав змоги відрізнити легітимні виклики інструментів агента від шкідливих інструкцій, впроваджених вебсторінкою зловмисника.

3. Небезпечне створення процесів з команд інструментів

MCP-сервіс сліпо виконував команди інструментів, отримані через WebSocket. Він дозволяв створювати довільні процеси без використання пісочниці, перевірок можливостей або підтвердження користувача . Коли контент зловмисника досягав WebSocket, він міг наказати сервісу виконати будь-яку команду на хості.

У поєднанні ці три слабкі місця дозволяють вебсторінці доручити рушію браузингу AI-агента підключитися до MCP WebSocket, надіслати сфабриковані команди інструментів та виконати довільний код — і все це без натискання користувачем будь-якої додаткової кнопки .

Які збірки постраждали та як це виправили

Уразливість існувала лише в гілці розробки AutoGen Studio, відкритого інтерфейсу для прототипування багатоагентного фреймворку AutoGen від Microsoft . Вона ніколи не потрапляла в жоден реліз AutoGen Studio або самого AutoGen через PyPI . Після того, як Microsoft повідомила про проблему супроводжувачам AutoGen через Microsoft Security Response Center (MSRC), виправлення було застосовано до гілки розробки . Користувачам рекомендують оновитися до останньої версії AutoGen Studio, щоб отримати патч . На момент наявних джерел для цієї проблеми не було присвоєно номер CVE.

Ширші наслідки для безпеки AI-агентів

Окрім конкретної вразливості, Microsoft наголошує, що AutoJack демонструє фундаментальний архітектурний ризик для будь-якого фреймворку AI-агентів, який поєднує веб-браузинг з локальним доступом до інструментів . Браузерна пісочниця була розроблена для ізоляції веб-контенту від операційної системи. Але AI-агент, який знаходиться всередині довіреної зони та діє на основі відрендереного контенту, створює міст від відкритого Інтернету до привілейованих локальних операцій .

Microsoft попереджає, що традиційне припущення про localhost як безпечну неявну зону довіри більше не діє, коли в гру вступають агенти . Компанія рекомендує фреймворкам AI-агентів впроваджувати:

• Явну автентифікацію для всіх MCP-ендпойнтів, навіть тих, що слухають на localhost
• Перевірку походження (Origin), щоб гарантувати, що лише легітимний агент може надсилати команди
• Контроль доступу на основі можливостей, який обмежує, що може робити кожна команда інструменту
• Ізоляцію процесів (пісочницю) для будь-якого інструменту, який може досягати системних ресурсів

Раніше localhost вважався безпечним кордоном. З появою AI-агентів, які переглядають відкритий Інтернет, він перетворився на поверхню атаки.