AutoJack: A single page can RCE the host running your AI agent
마이크로소프트 연구팀은 오픈소스 프로토타이핑 UI인 AutoGen Studio에서 발견한 'AutoJack' 취약점 체인을 공개했다. 이 취약점을 통해 에이전트가 브라우징한 비신뢰 웹페이지 하나가 로컬 MCP WebSocket을 경유해 호스트에서 임의 프로세스를 실행할 수 있다.
마이크로소프트 디펜더 보안 연구팀은 AI 에이전트 프레임워크의 보안을 연구하던 중 AutoGen Studio에 존재하는 심각한 취약점 체인을 발견했다. 이 취약점은 'AutoJack'이라 명명되었으며, 에이전트가 브라우징하는 단 하나의 비신뢰 웹페이지만으로도 로컬 MCP WebSocket에 접근해 호스트 시스템에서 임의 프로세스를 실행(RCE)할 수 있게 한다.
AutoGen Studio는 멀티 에이전트 시스템 프레임워크인 AutoGen의 프로토타이핑 사용자 인터페이스(UI)다. 이번에 발견된 취약점은 에이전트의 신뢰할 수 없는 웹 콘텐츠 렌더링과 로컬 프리빌리지 서비스(MCP 서버) 간의 통신이 결합될 때 발생하는 체인이다. 보안 연구팀은 이 문제를 MSRC에 보고했고, 메인테이너들은 메인 브랜치를 수정해 이를 완화했다. 현재 PyPI 릴리스 버전에는 해당 취약점이 포함되어 있지 않다.
이번 발견은 AI 에이전트의 보안 설계에 대한 중요한 교훈을 준다. 에이전트가 신뢰할 수 없는 웹을 탐색하고 동시에 로컬의 프리빌리지 서비스와 통신할 수 있다면, localhost는 더 이상 신뢰할 수 있는 경계가 아니다. 프로토타입 환경에서도 제어 평면에 대한 인증, 권한 부여, 격리가 필수적이며, 에이전트 프레임워크의 설계부터 이를 고려해야 한다.