Investigadores de Microsoft descubrieron AutoJack, una vulnerabilidad en AutoGen Studio que permite la ejecución remota de código al engañar a un agente de IA para que cargue una página maliciosa. El fallo reside en la falta de autenticación y validación de comandos en el WebSocket de MCP, afectando principalmente a quienes usaron versiones pre-lanzamiento. Aunque el código en GitHub ya fue corregido, se recomienda aislar los agentes de IA en contenedores para evitar que accedan a servicios locales privilegiados.




Investigadores de Microsoft han detallado una cadena de exploits, llamada AutoJack, que convierte a un agente de navegación de IA en un vehículo de entrega para la ejecución remota de código (RCE).

Dirige al agente para que cargue una página web del atacante, y el JavaScript de esa página puede alcanzar un servicio local privilegiado en la misma máquina y lanzar un proceso en el host.

Sin credenciales, sin pantalla de inicio de sesión y sin más interacción del usuario una vez que el agente carga la página. El atacante solo tiene que lograr que el agente la abra, y un enlace plantado, un campo de URL o una inyección de prompts servirá.

El fallo reside en AutoGen Studio, la interfaz de prototipado de código abierto para el marco de trabajo de multi-agentes AutoGen de Microsoft Research. Este no es un error que afecte a todo el que instale el paquete, y el detalle del empaquetado es importante.

Un simple pip install autogenstudio descarga la versión estable actual, 0.4.2.2, la versión que Microsoft inspeccionó, y esta no tiene ninguna ruta de Protocolo de Contexto de Modelo (MCP).

Esa es la base de la declaración de Microsoft de que la superficie vulnerable de MCP WebSocket "nunca fue incluida en un lanzamiento de PyPI". Esto se cumple para la compilación estable. Pero el manejador vulnerable sí llegó a PyPI en dos versiones preliminares: 0.4.3.dev1 y 0.4.3.dev2.

The Hacker News descargó e inspeccionó ambas. La ruta de MCP WebSocket está presente, el manejador toma el comando para ejecutar directamente de la solicitud y no autentica al llamador. Ninguna de las dos versiones ha sido retirada.

Pip no instala versiones preliminares a menos que pases --pre o fijes la versión, por lo que una instalación normal nunca estuvo expuesta. Cualquiera que haya instalado una de esas versiones preliminares sí lo estuvo. Todavía no hay ninguna compilación de PyPI que incluya el endurecimiento de la rama principal para ellos; el código corregido está en GitHub main en el commit b047730.

Cómo funciona la cadena

AutoJack encadena tres debilidades en el MCP WebSocket.

Primero, el socket confiaba en localhost, una comprobación destinada a bloquear un navegador normal dirigido a un sitio malicioso. Pero un agente de navegación que se ejecuta en la misma máquina es localhost, por lo que cualquier cosa que cargue hereda esa identidad de localhost y pasa la comprobación.



Segundo, el middleware de autenticación omitía las rutas MCP bajo la suposición de que el manejador verificaría los tokens por sí mismo. Nunca lo hizo, por lo que el socket aceptaba conexiones no autenticadas independientemente del modo de autenticación configurado.

Tercero, el endpoint tomaba un comando directamente de un parámetro de solicitud y lo ejecutaba, sin ninguna lista blanca de qué ejecutable podía lanzarse.

Combinando esto, una página en la internet abierta, renderizada por un agente local, podría ejecutar un comando elegido por un atacante bajo la cuenta que ejecuta AutoGen Studio.

Microsoft describe esto como una investigación, no como una campaña activa, y no informó de ninguna explotación en el mundo real. La prueba de concepto utilizó un agente "Resumidor de Contenido Web" que, al recibir una URL de un atacante, abre calc.exe en el escritorio del desarrollador, lanzado por el proceso de AutoGen Studio.



Microsoft informó del comportamiento al Centro de Respuesta de Seguridad de Microsoft, y los mantenedores reforzaron la rama principal en el commit b047730 (PR #7362). El manejador corregido ya no lee el comando de la URL; los parámetros se almacenan en el lado del servidor detrás de un ID de sesión único, y se rechazan los IDs desconocidos. Las rutas de MCP ahora pasan por la ruta de autenticación normal. Ese endurecimiento aún no ha llegado a un lanzamiento de PyPI.

Qué hacer

Un simple pip install autogenstudio te da la versión 0.4.2.2, que no tiene ruta MCP, por lo que no te ves afectado.

Si instalaste una versión preliminar, tienes el manejador vulnerable y no hay una compilación de PyPI parcheada a la que moverte. Descarga desde GitHub main en o después del commit b047730. Esa es la solución real.

Hasta que haya un lanzamiento, separa las piezas que necesita el ataque. No ejecutes AutoGen Studio en la misma máquina que un agente de navegación o de ejecución de código que toque contenido no confiable, porque la cadena solo funciona cuando ambos comparten el mismo localhost. Si tienen que ejecutarse juntos, aislalos en contenedores o VMs separadas y ejecuta AutoGen Studio bajo una cuenta de bajos privilegios.

Los errores de AutoGen Studio están parcheados en el código fuente. El patrón no lo está. Microsoft espera que el mismo esquema aparezca en otros marcos de agentes: un servicio local con demasiado poder, una comprobación de localhost tratada como seguridad y un agente que abre páginas no confiables.

THN lo vio el mes pasado en ChatGPhish, donde los resúmenes de páginas de ChatGPT se convirtieron en un vector de phishing. Microsoft presentó un argumento de localhost similar en su investigación de RCE de Semantic Kernel, rastreado como CVE-2026-26030 y CVE-2026-25592.

Otra comprobación de localhost no es suficiente. Autentica el plano de control, mantén la ejecución de procesos detrás de una lista blanca y dale al agente una identidad que no sea la sesión del propio desarrollador. Una vez que un agente puede navegar por la web abierta y alcanzar servicios locales privilegiados, localhost ya no es un límite de confianza.

Fuente:
THN