Microsoft'tan AutoJack uyarısı: Web'de gezinen yapay zekâ ajanı tek sayfayla kod çalıştırmaya kandırılabiliyor

Microsoft Defender güvenlik araştırma ekibi, 18 Haziran 2026'da AutoJack adını verdiği bir saldırı yolunu açıkladı. Araştırma, web'de gezinebilen yapay zekâ ajanlarının, aynı makinede çalışan ayrıcalıklı yerel servisler için nasıl bir saldırı aracına dönüşebileceğini gösteriyor.

Ne bulundu?

CSO Online'ın aktardığına göre sorun, Microsoft'un çok ajanlı uygulamalar geliştirmek ve test etmek için sunduğu açık kaynak arayüz AutoGen Studio üzerinde gösterildi. AutoGen tabanlı bir tarayıcı ajanının görüntülediği zararlı bir web sayfası, yerel MCP servisine ulaşarak ana makinede rastgele süreçler başlatabiliyordu. Ajan sayfayı görüntülemenin ötesinde kullanıcı etkileşimi gerekmiyordu.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

Üç halkalı zincir

Saldırı, AutoGen Studio'nun MCP WebSocket uygulamasındaki üç zayıflığın birleşimine dayanıyor:

• Köken kontrolünün aşılması: Yalnızca localhost bağlantılarını kabul eden izin listesi, aynı makinede çalışan tarayıcı ajanı localhost kimliğini devraldığı için saldırganın JavaScript koduyla aşılabiliyordu.
• Kimlik doğrulama boşluğu: MCP WebSocket yolları normal kimlik doğrulamanın dışında tutulmuştu ve yapılandırmadan bağımsız olarak erişilebilir durumdaydı.
• Sınırsız süreç başlatma: Uç nokta, URL'den aldığı parametrelerle doğrudan süreç başlatıyordu; çalıştırılabilir dosyalar için bir izin listesi yoktu.

Kimler etkilendi?

Microsoft'a göre bulgular MSRC'ye iletildi ve etkilenen kod herkese açık bir PyPI sürümüne ulaşmadan düzeltildi. Zafiyetli kod yalnızca MCP desteği içeren geliştirme derlemelerinde bulunuyordu; PyPI'daki kararlı 0.4.2.2 sürümü etkilenmiyor. Cloud Security Alliance, GitHub ana dalından derleme yapan geliştiricilerin düzeltme öncesinde risk altında olduğunu not ediyor. Bakımcılar URL tabanlı parametre enjeksiyonunu kaldırdı ve MCP yollarını normal kimlik doğrulamaya bağladı.

Microsoft'un vurguladığı temel mesaj şu: Aynı makinedeki bir ajan web'de gezinebiliyor ve ayrıcalıklı yerel servislere erişebiliyorsa, localhost artık bir güven sınırı değil. Şirket, sorunun AutoGen'in ötesinde daha geniş bir ajan çerçevesi sınıfını ilgilendirebileceğini belirtiyor.

Ne yapılmalı?

• AutoGen Studio'yu kaynaktan derlediyseniz düzeltmeyi içeren güncel ana dala geçin.
• Web'de gezinen ajanları, ayrıcalıklı yerel servislerin bulunmadığı izole ortamlarda çalıştırın.
• Yerel MCP ve benzeri servislerde localhost'a dayalı güveni kaldırıp kimlik doğrulamayı zorunlu kılın.
• Ajanların başlatabileceği komutlar için açık bir izin listesi tanımlayın.