AutoJack: come una pagina web può compromettere l’host che esegue il tuo agente AI

Il team di sicurezza di Microsoft ha recentemente pubblicato una ricerca intitolata AutoJack che evidenzia una nuova catena di exploit capace di trasformare una singola pagina web malevola in un vettore di remote code execution (RCE) contro l’host che esegue un agente AI con capacità di navigazione.

Come funziona l’attacco

Gli agenti AI moderni, come quelli basati su AutoGen Studio, possono accedere a contenuti web per raccogliere informazioni o completare task. AutoJack sfrutta tre debolezze tipiche:

• Fiducia implicita nel localhost per i servizi interni.
• Mancanza di autenticazione adeguata sui socket WebSocket dell’agente.
• Gestione non sicura dei parametri inviati al servizio MCP WebSocket.

Un attaccante invia una pagina web contenente un payload che, una volta aperta dall’agente, stabilisce una connessione al socket locale, bypassa l’autenticazione e lancia un comando arbitrario sul server host. In pratica, l’agente diventa un “proxy” per l’esecuzione di codice remoto.

Impatto per PMI e MSP

Le piccole e medie imprese, così come i Managed Service Provider, spesso adottano agenti AI per automatizzare processi di help‑desk, monitoraggio o analisi dei log. Se questi agenti sono configurati con permessi elevati o senza adeguati controlli di rete, l’attacco AutoJack può consentire a un semplice link di phishing di compromettere l’intera infrastruttura, con conseguenze quali:

1. Installazione di ransomware o malware persistente.
2. Accesso non autorizzato a dati sensibili o credenziali.
3. Interruzione dei servizi critici gestiti per i clienti.

Misure di mitigazione consigliate

Per ridurre il rischio, è consigliabile adottare le seguenti pratiche:

• Isolamento della rete: limitare l’accesso dell’agente AI a reti interne strettamente necessarie, usando firewall o zero‑trust per i socket locali.
• Autenticazione forte sui endpoint WebSocket e su qualsiasi API di controllo dell’agente.
• Validazione dei parametri in ingresso, evitando l’iniezione di comandi.
• Principio del minimo privilegio: eseguire l’agente con un account di servizio con permessi limitati.
• Monitoraggio e logging dei tentativi di connessione a localhost da parte di processi non autorizzati.

Inoltre, è possibile disabilitare la capacità di navigazione dell’agente quando non è strettamente necessaria, riducendo la superficie di attacco.

Conclusioni

AutoJack dimostra che la tradizionale separazione tra “browser” e “host” non è più valida quando gli agenti AI possono navigare autonomamente. Le organizzazioni devono rivedere le configurazioni di sicurezza, applicare un approccio zero‑trust e monitorare attentamente le interazioni di rete degli agenti AI per evitare che una semplice pagina web diventi il punto di ingresso di un attacco RCE.