LONDON (IT BOLTWISE) – Microsoft zeigt mit „AutoJack“, wie ein KI-Browsing-Agent über eine externe Webseite unbeabsichtigt einen privilegierten lokalen Dienst erreicht und daraus einen Remote-Host-Command auslösen kann. Entscheidend ist, dass Localhost als Sicherheitsgrenze interpretiert wird, obwohl der Agent auf derselben Maschine arbeitet. Besonders kritisch ist die Zwischenstellung in AutoGen Studio, wo bestimmte MCP-WebSocket-Pfade in Pre-Releases ohne passende Authentifizierung und ohne erlaubte Ausführungslisten anfragen konnten. Betroffene Teams sollten auf den GitHub-Fix ab Commit b047730 wechseln und Agentenisolierung nachziehen.
Microsoft Research beschreibt einen Exploit namens „AutoJack“, der die typische Annahme vieler KI-Agent-Setups aushebelt: Wenn ein lokaler Dienst nur für Localhost gedacht ist, gilt er als vertrauenswürdig. In der Praxis reicht es jedoch, dass ein Agent auf derselben Maschine eine vom Angreifer bereitgestellte Webseite lädt. Dann übernimmt diese Seite den Zugriffskontext und kann über eine (MCP-)WebSocket-Schnittstelle letztlich Kommandos an einen Handler senden, der Host-Code ausführt. Damit verschiebt sich die Sicherheitsgrenze vom „Browser-Tab“ hin zur lokalen Service-Instanz – ein Muster, das in KI-Workflows besonders häufig ist, weil Agenten Web-Inhalte automatisiert verarbeiten.
Technisch ist die Schwachstelle eng an die Implementierung von AutoGen Studio gekoppelt, einer Open-Source-Prototyping-Umgebung für das AutoGen Multi-Agent-Framework von Microsoft Research. Der Kern liegt in einem MCP-WebSocket-Endpunkt: Der Handler akzeptierte bestimmte Anfragen ohne ausreichende Authentifizierung und konnte einen aus der Request stammenden Befehl direkt an das System weitergeben. Microsoft ordnet das als Forschungsarbeit ein und berichtet von keiner Ausnutzung in freier Wildbahn; trotzdem zeigt der Proof-of-Concept mit einem „Web Content Summarizer“-Agenten, wie schnell aus einem einfachen URL-Load eine Prozessausführung auf dem Entwickler-Host werden kann. Besonders brisant: keine Credentials, kein Sign-in, und typischerweise keine weitere Nutzerinteraktion nach dem Laden.
Die Details rund um die Packaging- und Release-Pipeline erklären zudem, warum die Gefahr zeitlich und selektiv wirkt. Laut Bericht führt ein „pip install autogenstudio“ in der stabilen Version 0.4.2.2 zu genau dem Build, den Microsoft inspiziert hat – dort fehle die vulnerable MCP-Route vollständig. Das eigentliche Problem sei jedoch in zwei Pre-Releases auf PyPI enthalten gewesen: 0.4.3.dev1 und 0.4.3.dev2. Diese Vorabstände wurden zwar nicht durch einen Standard-Install installiert, aber wer sie explizit bezog, erhielt den angreifbaren Handler. Der Fix liegt laut Microsoft in GitHub main ab Commit b047730; erst dadurch wird der kritische Command-Flow zuverlässig unterbunden, inklusive Hardening gegen unbekannte Request-IDs.
Für Security- und Plattformteams ist das ein klassischer Enterprise-Konflikt zwischen „Agentenfreundlichkeit“ und „kontrollierter Ausführung“. Ein Angriffsfall benötigt nicht nur den lokalen Dienst, sondern auch einen Agenten, der untrusted Inhalte lädt, sowie eine zweite Schwachstelle in der Vertrauenslogik: Erstens vertraute der Socket auf Localhost als Schutzmechanismus; zweitens sprang die Authentifizierung bei MCP-Pfaden fehl, weil man offenbar annahm, der Handler würde selbst Tokens prüfen; drittens erlaubte der Endpoint, die ausführbare Aktion direkt aus einem Request-Parameter zu entnehmen, ohne Allowlist. Im Ergebnis kann JavaScript der geladenen Angreifer-Seite die privilegierte Control-Plane ansprechen und eine Prozessausführung im Kontext des AutoGen-Studio-Prozesses anstoßen.
Vergleichend lässt sich das Muster auch in anderen Agenten-Ökosystemen wiedererkennen. So wurde im Umfeld von „ChatGPhish“ gezeigt, dass KI-Modelle und Agenten, die Webinhalte zusammenfassen oder in strukturierte Ausgaben überführen, zur Umgehung von Benutzererwartungen missbraucht werden können. Microsoft verweist zudem auf ähnliche Localhost-basierte RCE-Research-Ansätze im Kontext von „Semantic Kernel“ und nennt dazu die CVEs CVE-2026-26030 und CVE-2026-25592. Aus Marktsicht bedeutet das: Unternehmen, die KI-Agenten als „Assistants“ mit Browser-Fähigkeiten in Entwicklungs- und Betriebsprozesse integrieren, treffen zwangsläufig auf eine Angriffsfläche, die bislang eher aus lokalen Integrationsdiensten bekannt war. Die Angriffslogik skaliert dann mit der Zahl der Agenten-Workflows, nicht mit der Zahl der Endnutzer.
Die Abhilfe ist entsprechend mehrstufig und sollte in der Reihenfolge „Patch → Architektur → Isolation“ gedacht werden. Zuerst gilt: Wer eine Version wie 0.4.2.2 nutzt, ist laut Bericht nicht betroffen, weil dort die MCP-Route fehlt. Wer jedoch jemals die fragilen Pre-Releases installiert hat, sollte auf den Code aus GitHub main ab Commit b047730 umstellen, da die gepatchte Logik Befehle nicht mehr direkt aus URL-Parametern liest. Stattdessen werden Parameter serverseitig hinter einem Einmal-Session-ID-Mechanismus gehalten; unbekannte IDs werden abgelehnt, MCP-Routen laufen wieder über den normalen Authentifizierungspfad. Bis es eine passende PyPI-Version gibt, empfiehlt sich ein kontrollierter Wechsel direkt aus dem Quellrepository.
Parallel dazu sollten Teams ihr Agenten-Deployment überdenken. Microsoft rät, AutoGen Studio nicht auf derselben Maschine wie einen Browsing- oder Code-Execution-Agent laufen zu lassen, der untrusted Inhalte verarbeitet, da die AutoJack-Kette auf dem gemeinsamen „localhost“-Kontext basiert. Falls ein gemeinsamer Lauf zwingend ist, lautet die praktische Konsequenz: strikte Isolation per Container oder VM, zusätzlich unter einem Low-Privilege-Account. Damit wird nicht nur die lokale Vertrauensannahme abgeschwächt, sondern auch der potenzielle Schaden begrenzt, falls Control-Plane-Zugriffe oder Prozessausführungen doch fehlkaskadieren. Für Developer ergibt sich zudem die Erkenntnis, dass „lokale“ Services in KI-Agent-Architekturen wie externe Schnittstellen behandelt werden müssen: Mit Authentifizierung, Allowlist-basierter Execution und klar getrennten Identitäten.
Ausblickend erwarten Experten in der Branche, dass sich die Angriffsform nicht auf ein einzelnes Framework beschränkt. Sobald ein KI-Agent eine offene Weboberfläche konsumiert und dabei eine privilegierte lokale Funktion adressieren kann, wird Localhost zur möglichen Angriffsbrücke – und ein bloßes „localhost-checken“ reicht als Schutz nicht aus. Entscheidend werden künftig die Kontrolle der Control-Plane (wie authentisiert wird), die Einschränkung der Data-Plane (welche Aktionen sind erlaubt) und die Gestaltung der Sicherheitsidentität (wem gehört der auszuführende Prozess). Wenn diese drei Ebenen sauber getrennt sind, sinkt die Wahrscheinlichkeit, dass ein KI-Agent unabsichtlich zum Vermittler zwischen untrusted Content und Host-Ausführung wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "AutoJack-Angriff: KI-Browsing-Agent entführt Localhost-Schutz und führt Host-Code aus" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "AutoJack-Angriff: KI-Browsing-Agent entführt Localhost-Schutz und führt Host-Code aus" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »AutoJack-Angriff: KI-Browsing-Agent entführt Localhost-Schutz und führt Host-Code aus« bei Google Deutschland suchen, bei Bing oder Google News!