エージェント狙う脆弱性AutoJack

Microsoftのセキュリティ研究チームは、AIエージェントフレームワーク「AutoGen Studio」において、悪意のあるWebページをAIエージェントに閲覧させるだけで、ホストマシン上でのリモートコード実行（RCE）を引き起こすことができる脆弱性チェーン「AutoJack」を発見しました。現在すでにセキュリティ修正パッチが適用されています。

1. エクスプロイトチェーン「AutoJack」の仕組み

AutoJackは、AutoGen StudioのMCP（Model Context Protocol）WebSocketインタフェースにおける3つの独立した弱点を組み合わせることで成立します。第一に、WebSocket Origin検証の不備です。被害者のマシン上で動作するブラウジングエージェント自身がlocalhostとして振る舞うため、この保護が破られます。第二に、MCP通信パスにおいて本来行うべき認証処理が欠落していました。第三に、デコードされたパラメータがそのままシステムコマンドとして実行されてしまうため、悪意あるコマンドの投入が可能になっていました。

2. 脆弱性の修正と教訓

報告を受け、AutoGen Studioの開発チームはすでにメインブランチでパッチ（コミット：b047730）を適用し、脆弱性を解決しています。この機能はPyPIの公式リリース版には含まれていなかったため、一般的なインストールを行ったユーザーに直接の被害はありません。しかし、この研究結果はAIエージェント全体のセキュリティ設計に警鐘を鳴らしており、AIエージェントが外部Webサイト閲覧とローカル権限サービスとの通信を同時に行える環境にある場合、従来のlocalhost境界は安全な障壁としては機能しないことを示しています。

AIエージェントが高度化し、ファイルの読み書きやローカルツールの実行などを行うようになるにつれ、実行ホストの保護は重大な課題となっています。今回発見された「AutoJack」は、エージェントを「トロイの木馬」のように悪用して組織内のローカルネットワークやホスト環境に侵入する新たな攻撃手法を提示しました。開発者はAIエージェント運用時、コントロールプレーンの厳格な認証と、エージェント動作環境のサンドボックス化を徹底し、ローカルへの特権アクセスを遮断する必要があるでしょう。