Se ha descubierto AutoJack, una cadena de tres vulnerabilidades críticas que permite que una sola página web maliciosa tome el control del agente de navegación de AutoGen Studio (la interfaz de Microsoft Research para sistemas de IA multi-agente). Este exploit permite la ejecución de código arbitrario en la máquina anfitriona sin requerir ninguna interacción del usuario más allá del envío de una URL.

Una cadena de exploits crítica llamada AutoJack que permite que una sola página web maliciosa secuestre el agente de navegación de AutoGen Studio de Microsoft y ejecute código arbitrario en la máquina host sin ninguna interacción del usuario más allá de enviar una URL.

AutoJack es una cadena de exploits de tres vulnerabilidades dirigida a AutoGen Studio, la interfaz de usuario de prototipado de código abierto de Microsoft Research para sistemas de IA multi-agente. La técnica instrumentaliza las capacidades de navegación web integradas del agente para cruzar el límite de confianza de localhost, convirtiendo al agente de IA en un vehículo de entrega involuntario para la ejecución remota de código (RCE).

Los investigadores informaron de los hallazgos al Centro de Respuesta de Seguridad de Microsoft (MSRC), y la rama main fue reforzada en el commit b047730. Crucialmente, la superficie vulnerable de WebSocket MCP nunca se incluyó en ninguna versión de PyPI, lo que significa que si instalaste AutoGen Studio a través de pip, no estás expuesto a esta cadena específica.

Cadena de Vulnerabilidades AutoJack

AutoJack encadena tres debilidades independientes en la superficie WebSocket del Model Context Protocol (MCP) de AutoGen Studio:

• CWE-1385 – Falta de Validación de Origen en WebSockets: El WebSocket de MCP solo acepta conexiones de http://127.0.0.1 o http://localhost. Aunque esto bloquea una pestaña de navegador humana en evil.com, no bloquea el JavaScript renderizado por un navegador sin cabeza (headless) propiedad de un agente de navegación de AutoGen, el cual hereda la identidad de localhost, evadiendo el control por completo.
• CWE-306 – Falta de Autenticación para Función Crítica: El middleware de autenticación de AutoGen Studio omitía explícitamente las rutas /api/mcp/*, asumiendo que el manejador de WebSocket impondría sus propios controles. Nunca lo hizo. Como resultado, el WebSocket de MCP aceptaba conexiones no autenticadas independientemente del modo de autenticación configurado para el resto de la aplicación.
• CWE-78 – Inyección de Comandos de SO a través de server_params: El endpoint de WebSocket aceptaba un parámetro de consulta server_params, lo decodificaba en base64 a un bloque JSON, lo analizaba en StdioServerParams y pasaba command + args directamente a stdio_client(). Al no haber una lista blanca de ejecutables, un atacante podría proporcionar calc.exe, powershell.exe -enc … o bash -c '...' como el "servidor MCP".

El flujo de extremo a extremo es sencillo. Ejecutas AutoGen Studio en localhost:8081 junto con un agente de navegación, como un resumidor web construido con MultimodalWebSurfer.

Un atacante planta una página maliciosa (o te engaña para que envíes una URL controlada por el atacante). El navegador sin cabeza navega a la página; su JavaScript abre un WebSocket a ws://localhost:8081/api/mcp/ws/<id>?server_params=<base64_payload>.

Debido a que el agente de navegación se ejecuta localmente, la comprobación de origen se supera; debido a que el middleware de autenticación omite /api/mcp/*, no se requiere token. AutoGen Studio decodifica la carga útil y lanza el comando especificado por el atacante bajo tu cuenta de desarrollador.

En las pruebas de concepto, calc.exe se inició en el escritorio del desarrollador a los pocos segundos de que el agente renderizara la página maliciosa, iniciado por el propio proceso de AutoGen Studio, no por el navegador.

Correcciones Aplicadas

Los mantenedores de Microsoft abordaron los tres problemas:

• Vinculación de parámetros del lado del servidor — server_params ya no se acepta a través de la URL; los parámetros se almacenan en el servidor y se indexan mediante UUID.
• Lista de omisión de autenticación restringida — /api/mcp ya no evade el middleware; todas las rutas de MCP ahora pasan por la autenticación estándar.

Estos cambios están activos en la rama main a partir del commit b047730 (versión 0.7.2). Se confirmó que el paquete publicado en PyPI (autogenstudio 0.4.2.2) no contiene ningún archivo de ruta mcp.py ni referencias a StdioServerParams.

Para defenderte de ataques estilo AutoJack de manera general:

• Trata cualquier parámetro de herramienta alcanzable desde la salida del modelo como si estuviera controlado por un atacante.
• Nunca vincules planos de control sensibles a localhost sin autenticación; el loopback es una superficie de ataque para cualquier agente en esa máquina.
• Crea una lista blanca de ejecutables que puedan ser invocados como servidores MCP.
• Aísla la identidad del agente de la identidad del desarrollador utilizando contenedores, usuarios de SO separados o máquinas virtuales.
• Si estás construyendo desde main, usa una versión igual o posterior al commit b047730.

AutoJack resalta un patrón de riesgo preocupante que se está desarrollando en los frameworks de agentes de IA. Este problema surge cuando un agente es capaz de navegar por contenido no confiable mientras también tiene la capacidad de comunicarse con servicios locales privilegiados.

En este caso, el entorno local ya no puede considerarse un límite seguro. Para mitigar eficazmente este riesgo, es esencial implementar una autenticación consistente del plano de control, imponer una lista blanca de acciones estricta y garantizar el aislamiento de la identidad, independientemente del framework que estés utilizando.

Fuentes:
https://cybersecuritynews.com/autojack/