Publicado en

AutoJack: La vulnerabilidad que permite secuestrar agentes de IA para ejecutar código remoto

•Publicado enVulnerabilidades

AutoJack: El riesgo de confiar en la identidad ‘localhost’ en la era de la IA

Investigadores de Microsoft han revelado recientemente una cadena de explotación denominada AutoJack. Este hallazgo pone de manifiesto una nueva y preocupante superficie de ataque: el uso de agentes de Inteligencia Artificial con capacidad de navegación web como vehículos para la ejecución remota de código (RCE) en las máquinas host.

¿En qué consiste el ataque AutoJack?

El ataque aprovecha la forma en que los agentes de IA interactúan con servicios locales. La cadena de explotación funciona de la siguiente manera:

  1. Inducción al sitio malicioso: Un atacante logra que un agente de IA visite una página web controlada por él (mediante un enlace, un campo URL o una inyección de prompts).
  2. Abuso de confianza en Localhost: La página web contiene JavaScript malicioso que intenta comunicarse con un servicio local privilegiado en la máquina del usuario. Dado que el agente de IA se está ejecutando localmente, el servicio confía en la conexión al identificarla como ‘localhost’.
  3. Ejecución de comandos: El atacante utiliza esta conexión para enviar comandos directamente al sistema operativo, logrando ejecutar procesos sin necesidad de credenciales ni interacción adicional del usuario.

El origen técnico: AutoGen Studio

La vulnerabilidad fue identificada en AutoGen Studio, una interfaz de prototipado de código abierto para el marco multi-agente AutoGen de Microsoft Research. El fallo reside específicamente en el manejo del protocolo Model Context Protocol (MCP) a través de WebSockets.

Es importante destacar que esta vulnerabilidad no afecta a la versión estable actual (0.4.2.2), sino a versiones de pre-lanzamiento (0.4.3.dev1 y 0.4.3.dev2). El problema principal fue que el socket confiaba ciegamente en cualquier origen identificado como ‘localhost’, asumiendo que era seguro, y carecía de una capa de autenticación robusta para ejecutar comandos del sistema.

Implicaciones para la seguridad empresarial

Este descubrimiento subraya un cambio de paradigma en la ciberseguridad. Tradicionalmente, ‘localhost’ se ha considerado una frontera de confianza segura. Sin embargo, cuando introducimos agentes de IA que pueden navegar por la web abierta y, al mismo tiempo, acceder a servicios locales, esa frontera se desvanece.

Si un agente tiene el poder de ejecutar código o acceder a archivos y, simultáneamente, procesar contenido no confiable de Internet, el riesgo de compromiso es extremadamente alto.

Recomendaciones y mitigación

Para las organizaciones que están experimentando o implementando marcos de agentes de IA, Microsoft y los expertos en seguridad recomiendan:

  • Actualización inmediata: Si utiliza versiones de desarrollo de AutoGen Studio, asegúrese de aplicar el parche disponible en el repositorio principal de GitHub (commit b047730).
  • Aislamiento de entornos: No ejecute agentes de IA con capacidades de navegación en la misma máquina o bajo el mismo perfil de usuario que maneja datos sensibles o servicios privilegiados.
  • Uso de contenedores: Ejecute los marcos de IA dentro de contenedores (Docker) o máquinas virtuales aisladas para limitar el alcance de una posible ejecución de código.
  • Principio de privilegio mínimo: Los servicios de IA deben ejecutarse bajo cuentas con permisos restringidos que no tengan capacidad de realizar cambios críticos en el sistema host.

En conclusión, AutoJack es un recordatorio de que la integración de la IA en los flujos de trabajo empresariales requiere una revisión profunda de nuestras arquitecturas de seguridad tradicionales. La confianza no debe basarse en la ubicación del proceso, sino en una autenticación rigurosa y un control estricto de las capacidades del agente.

Fuentes