AutoJack: Una nueva amenaza para agentes de IA
Investigadores de Microsoft han detallado una cadena de explotación, denominada AutoJack, que convierte a un agente de IA de navegación en un vehículo para ejecución remota de código. Basta con dirigir al agente hacia una página web controlada por el atacante para que el JavaScript de esa página acceda a un servicio local privilegiado en la misma máquina y ejecute un proceso en el anfitrión. No se requieren credenciales, pantallas de inicio de sesión ni interacción adicional del usuario una vez que el agente carga la página. El atacante solo necesita que el agente abra el enlace, lo que puede lograrse mediante un enlace insertado, un campo URL o una inyección de instrucciones.
La vulnerabilidad en AutoGen Studio
La falla se encuentra en AutoGen Studio, la interfaz de prototipado open-source del framework multiagente AutoGen de Microsoft Research. No se trata de un error que afecte a todos los que instalan el paquete. Una instalación simple con pip install autogenstudio obtiene la versión estable actual, 0.4.2.2, que no incluye la ruta MCP (Model Context Protocol) vulnerable. Sin embargo, la versión vulnerable sí llegó a PyPI en dos versiones previas al lanzamiento: 0.4.3.dev1 y 0.4.3.dev2. The Hacker News descargó e inspeccionó ambas: la ruta WebSocket MCP está presente, el manejador ejecuta el comando directamente desde la solicitud y no autentica al llamante. Estas versiones no han sido retiradas. pip no instala versiones previas al lanzamiento a menos que se use la opción –pre o se fije la versión, por lo que las instalaciones simples no estuvieron expuestas; solo quienes instalaron esas versiones previas. La corrección está en la rama principal de GitHub en el commit b047730, pero aún no ha llegado a una publicación de PyPI.
Cómo funciona la cadena de ataque
AutoJack encadena tres debilidades en el WebSocket MCP. Primero, el socket confiaba en localhost, una verificación pensada para bloquear a un navegador normal apuntando a un sitio malicioso. Pero un agente de navegación que se ejecuta en la misma máquina también es localhost, por lo que cualquier página que cargue hereda esa identidad y pasa la verificación. Segundo, el middleware de autenticación omitía las rutas MCP bajo la suposición de que el manejador verificaría los tokens por sí mismo, pero nunca lo hacía, por lo que el socket aceptaba conexiones no autenticadas independientemente del modo de autenticación configurado. Tercero, el endpoint tomaba un comando directamente de un parámetro de la solicitud y lo ejecutaba, sin una lista blanca de ejecutables permitidos.
En conjunto, una página de internet abierta, renderizada por un agente local, podía ejecutar un comando elegido por el atacante bajo la cuenta que ejecuta AutoGen Studio. Microsoft describe esto como investigación, no como una campaña activa, y no reporta explotación en la naturaleza. La prueba de concepto utilizó un agente "Resumidor de contenido web" que, al recibir una URL del atacante, abre la calculadora (calc.exe) en el escritorio del desarrollador, lanzada por el proceso de AutoGen Studio.
Medidas de mitigación
Una instalación simple con pip install autogenstudio proporciona la versión 0.4.2.2, que no tiene la ruta MCP, por lo que no está afectada. Si instaló una versión previa al lanzamiento, tiene el manejador vulnerable y no hay una versión parcheada de PyPI a la que migrar. Debe obtener el código desde la rama principal de GitHub a partir del commit b047730. Esa es la solución real. Hasta que haya una nueva publicación, separe los componentes que el ataque necesita: no ejecute AutoGen Studio en la misma máquina que un agente de navegación o ejecución de código que toque contenido no confiable, porque la cadena solo funciona cuando ambos comparten el mismo localhost. Si deben ejecutarse juntos, aíslelos en contenedores o máquinas virtuales separadas y ejecute AutoGen Studio con una cuenta de bajos privilegios.
Lecciones más amplias
Los errores de AutoGen Studio están parcheados en el código fuente, pero el patrón no. Microsoft espera la misma forma en otros frameworks de agentes: un servicio local con demasiado poder, una verificación de localhost tratada como seguridad y un agente que abre páginas no confiables. THN lo vio el mes pasado en ChatGPhish, donde los resúmenes de páginas de ChatGPT se convirtieron en un vector de phishing. Microsoft presentó un argumento similar sobre localhost en su investigación de ejecución remota de código en Semantic Kernel, rastreada como CVE-2026-26030 y CVE-2026-25592. Otra verificación de localhost no es suficiente. Autentique el plano de control, mantenga la ejecución de procesos detrás de una lista blanca y otorgue al agente una identidad que no sea la sesión del desarrollador. Una vez que un agente puede navegar por la web abierta y alcanzar servicios locales privilegiados, localhost ya no es un límite de confianza.
Deja una respuesta