Дослідники з кібербезпеки компанії Microsoft детально описали новий вектор атак та ланцюжок експлуатації під назвою AutoJack, який демонструє критичні ризики інтеграції агентів штучного інтелекту в повсякденні робочі процеси. Вразливість дозволяє зловмисникам виконувати довільний код (RCE) на хост-системі жертви, використовуючи ШІ-агента для вебсерфінгу як інструмент доставки шкідливого коду. Ця атака підкреслює фундаментальну проблему безпеки при переході від звичайних інтерактивних чат-ботів до автономних ШІ-агентів, які мають ширші права доступу до локальних ресурсів комп'ютера.

Атака AutoJack дозволяє зламати хост через ШІ-агента для вебсерфінгу

Суть методу AutoJack полягає у маніпуляції поведінкою автономного ШІ-агента, який самостійно відвідує вебсайти для збору інформації або виконання завдань за вказівкою користувача. Якщо зловмиснику вдається заманити ШІ-агента на спеціально підготовлену шкідливу вебсторінку, JavaScript-код на цьому ресурсі отримує можливість взаємодіяти з привілейованими локальними службами на тому самому комп’ютері, де запущено агента. Це дозволяє обійти традиційні обмеження пісочниці веббраузера та запустити шкідливий процес безпосередньо в операційній системі хоста.

Для успішної реалізації атаки AutoJack зловмисникам не потрібні автентифікаційні дані користувача, доступ до його облікових записів чи будь-яка додаткова взаємодія з людиною після того, як ШІ-агент завантажив сторінку. Традиційні браузери мають жорстку ізоляцію (same-origin policy та пісочниці), яка не дозволяє вебсторінкам надсилати запити до локальних служб (localhost) або взаємодіяти з операційною системою. Однак ШІ-агенти, інтегровані з операційними системами або локальними інструментами автоматизації, часто виступають містком між вебконтентом і локальним оточенням, створюючи небезпечні канали зв'язку.

Цей ланцюжок атак демонструє еволюцію загроз у сфері штучного інтелекту. Якщо раніше основними проблемами вважалися джейлбрейки (jailbreaks), ін'єкції швидких підказок (prompt injection) або витік конфіденційних даних через запити, то з появою автономних агентів (Agentic AI) загрози перейшли у площину класичної системної безпеки. Надання ШІ-агентам прав на самостійний запуск інструментів, взаємодію з API та виконання локальних команд без належної ізоляції фактично відкриває нові двері для зловмисників безпосередньо в локальну мережу компанії.

Згідно з дослідженням Microsoft, проблема часто криється у використанні локальних привілейованих портів та API-інтерфейсів для керування роботою самого ШІ-агента. Розробники програмного забезпечення фокусуються на функціональності та швидкості інтеграції, нехтуючи принципом найменших привілеїв (Principle of Least Privilege). У результаті вебсторінки, які ШІ-агент відвідує під час виконання легітимних завдань користувача, можуть надсилати шкідливі інструкції через локальні сокети, що призводить до повного контролю над системою.

Що це означає на практиці

Як пентест-команда, ми зазначаємо, що впровадження автономних ШІ-агентів у корпоративне середовище потребує негайного перегляду політик безпеки. Рекомендуємо вжити наступних практичних заходів:

  • Ізоляція ШІ-компонентів: Запускайте будьякі ШІ-агенти, які мають доступ до інтернету або виконують вебсерфінг, у суворо ізольованих контейнерах (наприклад, Docker) або на спеціальних віртуальних машинах (VM) без прямого доступу до корпоративної мережі чи хост-системи. Використовуйте механізми gVisor або подібні технології безпеки пісочниць для обмеження системних викликів.
  • Аудит локальних сокетів та портів: Проведіть інвентаризацію системних служб та перевірте, чи не використовують встановлені ШІ-інструменти локальні порти (такі як 127.0.0.1 або localhost) без автентифікації. Заблокуйте можливість звернення до цих портів з боку веббраузерів за допомогою налаштування політик CORS (Cross-Origin Resource Sharing) та мережевих фільтрів.
  • Обмеження права доступу ШІ-агентів: Застосовуйте принцип найменших привілеїв до облікових записів, під якими працюють ШІ-агенти. Вони не повинні мати прав адміністратора на хості, а також можливості самостійно створювати нові процеси чи викликати системні утиліти на кшталт PowerShell або CMD без додаткового ручного підтвердження від користувача.
  • Фільтрація та перевірка вхідного контенту: Налаштуйте контентні фільтри для ШІ-агентів. Перш ніж передавати завантажену з інтернету вебсторінку на аналіз ШІ, очищуйте її від JavaScript-коду, iframe-тегів та інших потенційно небезпечних активних скриптів, які можуть виконати запити до локальної інфраструктури.