Η Microsoft προειδοποιεί για μια νέα διαδρομή απομακρυσμένης εκτέλεσης κώδικα (RCE) που είναι δυνατή μέσω διαδικτυακών AI agents, παρουσιάζοντας την τεχνική κατά του AutoGen Studio, της ανοιχτού κώδικα διεπαφής της για την κατασκευή και δοκιμή εφαρμογών πολλαπλών agents. Η επίδειξη έδειξε ότι μια κακόβουλη ιστοσελίδα που αποδίδεται από έναν agents περιήγησης με την υποστήριξη του AutoGen θα μπορούσε να φτάσει σε μια τοπική υπηρεσία Model Context Protocol (MCP) και να εκτελέσει αυθαίρετες διεργασίες στη μηχανή φιλοξενίας.
Δείτε επίσης: Microsoft: Καμπάνια Clipper malware στοχεύει τα Windows
Οι ερευνητές της Μicrosoft ονόμασαν την τεχνική “AutoJack” επειδή ουσιαστικά καταλαμβάνει έναν AI agent που έχει πρόσβαση στο διαδίκτυο και καταχράται την αξιόπιστη τοπική πρόσβαση για να παρακάμψει τα όρια ασφάλειας του localhost. Η επίθεση συνδυάζει τρεις ξεχωριστές αδυναμίες στην υλοποίηση του MCP WebSocket του AutoGen Studio, αν και η Μicrosoft δήλωσε ότι το πρόβλημα επεκτείνεται πέρα από το AutoGen και θα μπορούσε να επηρεάσει μια ευρύτερη κατηγορία πλαισίων agents.
“Όταν ένας agent στον κεντρικό σας διακομιστή ή φορητό υπολογιστή μπορεί να περιηγηθεί στο ανοιχτό διαδίκτυο και να επικοινωνήσει με προνομιούχες τοπικές υπηρεσίες, το localhost παύει να είναι ένα όριο εμπιστοσύνης“, αναφέρεται σε μια ανάρτηση στο blog. Τα ευρήματα αναφέρθηκαν εσωτερικά στο Κέντρο Ανταπόκρισης Ασφαλείας της Microsoft (MSRC) και ο επηρεασμένος κώδικας του AutoGen Studio φέρεται να διορθώθηκε πριν φτάσει σε δημόσια έκδοση PyPI.
Η επίθεση AutoJack συνδύασε τρεις ξεχωριστές αδυναμίες στην υλοποίηση του MCP WebSocket του AutoGen Studio. Η πρώτη αφορούσε μια λίστα επιτρεπόμενων προελεύσεων σχεδιασμένη να δέχεται συνδέσεις μόνο από το localhost. Υπό κανονικές συνθήκες, αυτή η προστασία θα μπλόκαρε έναν περιηγητή που επισκέπτεται μια κακόβουλη εξωτερική ιστοσελίδα. Ωστόσο, η Μicrosoft διαπίστωσε ότι ένας agent περιήγησης που εκτελείται τοπικά κληρονομεί την ταυτότητα του localhost, επιτρέποντας στο JavaScript που ελέγχεται από τον επιτιθέμενο και αποδίδεται από τον agent να ικανοποιήσει τον έλεγχο προέλευσης.
Το δεύτερο ζήτημα προέκυψε από τη λογική αυθεντικοποίησης. Η διαδικασία αυθεντικοποίησης του AutoGen Studio απέκλεισε τις διαδρομές MCP WebSocket από τους κανονικούς ελέγχους αυθεντικοποίησης, υποθέτοντας ότι αυτά τα τελικά σημεία θα εφαρμόσουν τους δικούς τους ελέγχους. Σύμφωνα με τη Μicrosoft, η διαδρομή MCP δεν επέβαλε ποτέ αυτούς τους επιπλέον ελέγχους, αφήνοντας τη διεπαφή προσβάσιμη χωρίς αυθεντικοποίηση ανεξάρτητα από τη διαμορφωμένη λειτουργία αυθεντικοποίησης.
Δείτε επίσης: Η DragonForce εκμεταλλεύονται τις αναμεταδόσεις του Microsoft Teams
Το τρίτο ήταν το πιο επικίνδυνο από τα ζητήματα. Το τελικό σημείο MCP αποδεχόταν μια τιμή “server_params” που παρέχεται μέσω URL, την αποκωδικοποιούσε και περνούσε την προκύπτουσα εντολή και τα επιχειρήματα απευθείας στον μηχανισμό εκκίνησης διεργασιών που χρησιμοποιείται για τους διακομιστές MCP. Επειδή καμία λίστα επιτρεπόμενων δεν περιόριζε ποια εκτελέσιμα θα μπορούσαν να εκκινηθούν, οι επιτιθέμενοι μπορούσαν να καθορίσουν αυθαίρετες εντολές όπως PowerShell, Bash ή άλλα δυαδικά αρχεία.
Η Microsoft δήλωσε ότι η αλυσίδα αυτών των αδυναμιών επέτρεψε σε μια ιστοσελίδα να προκαλέσει αυθαίρετη εκτέλεση διεργασιών στη μηχανή που φιλοξενεί το AutoGen Studio χωρίς επιπλέον αλληλεπίδραση χρήστη πέρα από το να κάνει τον πράκτορα να αποδώσει τη σελίδα. Η Microsoft δήλωσε ότι ο ευάλωτος κώδικας υπήρχε μόνο σε εκδόσεις ανάπτυξης που περιλάμβαναν υποστήριξη MCP και δεν κυκλοφόρησε ποτέ μέσω της τρέχουσας έκδοσης PyPI.
Αυτό σημαίνει ότι οι χρήστες που εγκατέστησαν το AutoGen Studio μέσω PyPI δεν εκτέθηκαν ποτέ στο AutoJack. Για όσους εγκαθιστούν το AutoGen Studio από τον πηγαίο κώδικα, οι συντηρητές αφαίρεσαν στη συνέχεια την έγχυση παραμέτρων μέσω URL, διέθεσαν τις διαδρομές MCP μέσω κανονικών ροών αυθεντικοποίησης και εφάρμοσαν χειρισμό παραμέτρων από την πλευρά του διακομιστή με κλειδιά ταυτοποίησης συνεδρίας.
Πέρα από τα συγκεκριμένα σφάλματα, η Microsoft υποστηρίζει ότι το AutoJack απεικονίζει ένα μοτίβο σε πλαίσια agent. “Η γενική καθοδήγηση εξακολουθεί να ισχύει επειδή το μοτίβο (ένας agent στο κουτί που φτάνει σε υπηρεσίες localhost) είναι ευρύτερο από αυτό το ένα σφάλμα“, αναφέρεται. Το AutoJack ήταν αποτέλεσμα της ενεργής έρευνας της Microsoft για το πώς οι παραδοσιακοί κίνδυνοι λογισμικού αλλάζουν όταν τα μοντέλα AI συνδέονται με εργαλεία, περιηγητές, διερμηνείς κώδικα και τοπικές υπηρεσίες.
Δείτε επίσης: Η Microsoft επιβεβαιώνει το RoguePlanet Defender zero-day – Ετοιμάζει patch
Τα ευρήματα έρχονται καθώς η Microsoft ενισχύει τις πρωτοβουλίες AI agents σε όλο το χαρτοφυλάκιο προϊόντων της, επεκτείνοντας τις επενδύσεις της στη διακυβέρνηση πρακτόρων, την περιοριστική ασφάλεια και τα αυτόνομα συστήματα ασφαλείας.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
