A Microsoft acaba de expor a técnica AutoJack, uma nova via de execução remota de código que liga um sinal de alerta na segurança de agentes autônomos conectados à web. No cenário descrito pela empresa, basta que esse tipo de agente abra uma página maliciosa para que ela consiga alcançar um serviço local baseado no Model Context Protocol (MCP) e, a partir daí, acionar processos arbitrários na máquina.
O nome dado ao ataque é AutoJack. O ponto central da técnica é este: uma página maliciosa, quando aberta por um agente desse tipo, pode chegar a um serviço local apoiado em MCP e mandar executar processos arbitrários no sistema.
A conclusão mais séria do estudo da Microsoft é direta, e nada tranquila: “localhost” já não pode ser tratado como uma fronteira confiável quando o mesmo agente consegue, ao mesmo tempo, navegar pela internet e acessar serviços locais com privilégios.
Na prática, conteúdo controlado por um invasor pode se aproveitar da confiança que o agente já recebeu.
Na prova de conceito apresentada pela Microsoft, o ataque não depende de uma falha clássica de navegador. O problema está na arquitetura. Um agente que opera com a autoridade do usuário, ou até do sistema, acaba sendo levado a executar ações maliciosas em nome de conteúdo vindo da web, dentro de um padrão que a segurança da informação conhece há tempos como “confused deputy”.
A cadeia de exploração juntou três fraquezas na implementação de WebSocket do MCP no AutoGen Studio, da própria Microsoft: uma lista de origens permitidas em localhost que podia ser burlada por um agente de navegação rodando localmente, a falta de autenticação nas rotas WebSocket do MCP e, mais grave que isso, o tratamento inseguro de um parâmetro chamado server_params.
Pela análise da Microsoft, o endpoint do MCP decodificava o valor de server_params passado na URL e entregava o comando resultante, com seus respectivos argumentos, diretamente ao mecanismo encarregado de iniciar servidores MCP. Como não existia uma lista de executáveis autorizados, abria-se espaço para disparar comandos arbitrários, entre eles PowerShell no Windows ou Bash em sistemas Unix.
Em termos simples, o invasor só precisava montar a página maliciosa. Quando o agente local a renderizava e interagia com o serviço em localhost, o caminho para executar processos no host ficava aberto.
A Microsoft afirmou que o código vulnerável existia apenas em builds de desenvolvimento com suporte a MCP e que a correção foi aplicada antes de qualquer lançamento público no PyPI. Em outras palavras, o pacote de produção distribuído hoje pelo PyPI não foi atingido pelo problema demonstrado no AutoGen Studio.
Mesmo assim, a empresa insiste que o risco está longe de se limitar a um projeto específico. Qualquer framework que deixe um agente navegar na web enquanto interage com serviços locais ou privilegiados pode cair nessa mesma classe de falha.
O alerta também se soma a estudos recentes sobre segurança de agentes, como o trabalho “Agent Traps”, do Google DeepMind, ataques de “agentjacking” contra assistentes de programação, preocupações com prompt injection levando a RCE no Semantic Kernel, da Microsoft, e casos de exposição de dados no Microsoft 365 Copilot. A direção apontada pela própria Microsoft fica cada vez mais nítida: adotar arquitetura de confiança zero, sandboxing e monitoramento mais rígido desses sistemas antes de ampliar sua autonomia.
