AutoJack ruši staru pretpostavku: localhost više nije bezbedna granica
AutoJack je exploit chain u AutoGen Studio okruženju koji pokazuje kako jedna zlonamerna veb stranica može da okrene AI browsing agenta protiv programera koji ga pokreće. Prema tekstu, problem je bio u MCP WebSocket površini na localhost:8081, gde su se spojile tri slabosti: nedovoljna provera Origin vrednosti, izostavljena autentifikacija za /api/mcp/* rute i mogućnost da se kroz server_params proslede OS komande. Kada agent sa headless browserom poseti zlonamernu stranicu, JavaScript učitan lokalno može da dođe do MCP WebSocket-a i pokrene komandu pod nalogom programera. Microsoft je propust prijavio kroz MSRC i zakrpa je ušla u upstream commit b047730. Važna ograda: pogođena MCP površina nije bila deo PyPI izdanja, pa korisnici koji su instalirali AutoGen Studio kroz pip install autogenstudio nisu izloženi ovom konkretnom lancu.
Agent koji čita nepouzdan veb sadržaj i lokalni kontrolni kanal sa privilegijama sede na istoj mašini. Decenijama je localhost mnogim programerskim alatima bio praktična prečica za poverenje, ali AI agenti menjaju tu pretpostavku jer lokalni browser više nije samo alat korisnika, već posrednik koji napadač može da navede na pogrešan korak. Kada agent ima pristup vebu, alatima i lokalnim servisima, granica poverenja više nije mrežna adresa, nego stroga autentifikacija, izolacija i dozvole.
- Koristiti AutoGen Studio iz PyPI izdanja ili, ako se gradi iz main branch-a, proveriti da je build na commit-u b047730 ili novijem (verzija 0.7.2 ili novija)
- Ne pokretati AI agente koji obilaze nepouzdan veb sadržaj na istoj mašini gde rade privilegovani lokalni kontrolni servisi
- Uvesti autentifikaciju i autorizaciju na sve lokalne control plane endpoint-e, bez oslanjanja na localhost kao dokaz poverenja
- Ograničiti koje komande, alate i MCP servere agent sme da poziva kroz allowlist pristup
- Razdvojiti identitet agenta od developerskog naloga, jer agent koji radi pod tvojim nalogom nasleđuje i tvoje greške i tvoje privilegije