حمله AutoJack به یک صفحه وب اجازه می‌دهد تا عامل هوش مصنوعی را برای اجرای کد در سیستم میزبان هایجک کند

محققان مایکروسافت زنجیره‌ای از آسیب‌پذیری‌ها را با نام «AutoJack» شناسایی و تشریح کرده‌اند که به مهاجمان اجازه می‌دهد از طریق یک عامل هوش مصنوعی مرورگر (AI browsing agent)، کد دلخواه را از راه دور روی سیستم قربانی اجرا کنند (Remote Code Execution). این آسیب‌پذیری در رابط نمونه‌سازی متن‌باز AutoGen Studio، متعلق به چارچوب چندعاملی (multi-agent framework) AutoGen مایکروسافت، قرار دارد. زنجیره حمله از سه ضعف در مسیر وب‌سوکت پروتکل MCP (Model Context Protocol) بهره می‌برد: اعتماد کورکورانه به اتصالات محلی (localhost)، دور زدن احراز هویت در مسیرهای MCP، و اجرای مستقیم دستورات دریافتی از پارامترهای درخواست بدون هیچ فهرست مجازی (allowlist). در نتیجه، صرف بارگذاری یک صفحه وب مخرب توسط عامل هوش مصنوعی، بدون نیاز به هیچ تعامل کاربری، می‌تواند منجر به اجرای فرمان دلخواه مهاجم شود.

نسخه پایدار ۰.۴.۲.۲ که از طریق PyPI قابل نصب است فاقد مسیر MCP است و آسیب‌پذیر نیست؛ اما دو نسخه پیش‌انتشار (pre-release) با شناسه‌های ۰.۴.۳.dev1 و ۰.۴.۳.dev2 حاوی کد آسیب‌پذیر بوده و هنوز از PyPI حذف نشده‌اند. مایکروسافت این مشکل را به مرکز پاسخ امنیتی خود (MSRC) گزارش داده و کد اصلاح‌شده در شاخه اصلی GitHub در کامیت b047730 منتشر شده، اما هنوز در هیچ نسخه رسمی PyPI ارائه نشده است. به کاربرانی که نسخه‌های پیش‌انتشار را نصب کرده‌اند توصیه می‌شود مستقیماً از GitHub به‌روزرسانی کنند و تا زمان انتشار نسخه رسمی، AutoGen Studio را در محیط‌های ایزوله‌شده (container یا VM) و با حساب کاربری با دسترسی محدود اجرا نمایند. مایکروسافت هشدار داده که این الگوی آسیب‌پذیری در سایر چارچوب‌های عاملی هوش مصنوعی نیز قابل تکرار است.