LONDON (IT BOLTWISE) – Microsofts Sicherheitsforschung zeigt, wie sich ein KI-Browsing-Agent missbrauchen lässt: Sobald er eine manipulierte Webseite lädt, kann JavaScript eine privilegierte lokale MCP-WebSocket-Schnittstelle ansteuern und so Host-Code ausführen. Die Kette nutzt dabei drei entkoppelte Schwächen—ein fehlgeleiteter „localhost“-Vertrauenscheck, eine nicht konsistent durchgesetzte Authentifizierung und das direkte Ausführen von Kommandos aus Request-Parametern. Besonders kritisch ist die Lücke in bestimmten AutoGen Studio Pre-Release-Versionen, während die stabile PyPI-Fassung offenbar nicht betroffen ist. Entscheidend für Verteidiger: Das Fixing erfolgt im Quellcode bei Commit b047730, nicht allein durch eine normale pip-Installation.
Die Nachricht wirkt auf den ersten Blick wie eine typische Sicherheitsstudie, doch die Implikationen sind für KI-gestützte Agenten-Architekturen ausgesprochen praktisch: Ein Angreifer kann die Fähigkeit eines lokalen KI-Browsing-Agents ausnutzen, um über eine scheinbar harmlose Web-Interaktion in Richtung Remote Code Execution (RCE) zu rutschen. Das Forschungsteam beschreibt die Kette unter dem Namen „AutoJack“ und zeigt damit, wie leicht „Control Plane“- und „Data Plane“-Grenzen verschwimmen, wenn ein Agent nicht nur Inhalte liest, sondern gleichzeitig auf privilegierte lokale Dienste zugreifen darf. Für Unternehmen heißt das: Die größte Angriffsfläche entsteht weniger durch einzelne Exploit-Features, sondern durch falsche Annahmen über Vertrauensgrenzen.
Technisch setzt AutoJack in AutoGen Studio an, einer Open-Source-Prototyping-Umgebung für Microsoft Researchs AutoGen-Multi-Agent-Framework. Damit ist es nicht nur ein „Agent-Problem“, sondern ein konkretes Zusammenspiel aus dem lokalen Agentenprozess, einer MCP-WebSocket-Schnittstelle (Model Context Protocol) und einer Handler-Logik, die Befehle anhand von Web-Requests annimmt. In der stabilen PyPI-Version, die bei einem einfachen „pip install autogenstudio“ typischerweise landet (0.4.2.2 bzw. der von Microsoft geprüfte Build), soll kein MCP-Route existieren. Genau diese scheinbare Abkapselung war für viele Nutzer beruhigend—doch die Forschung weist darauf hin, dass die gefährliche Handler-Variante in bestimmten Pre-Release-Builds auftauchte.
Der Kern des Problems wird über eine Versionierungs- und Packaging-Lücke sichtbar: In zwei Pre-Release-Artifakten, 0.4.3.dev1 und 0.4.3.dev2, ist der MCP-WebSocket-Endpoint vorhanden. Bei diesen Builds akzeptiert der Handler offenbar unauthentisierte Verbindungen, nimmt einen Ausführungsbefehl direkt aus einer Request-Option entgegen und authentifiziert den Caller nicht zuverlässig—und nach Aussage der Analyse wurden die betreffenden Pakete nicht vom Index entfernt. Dadurch entsteht eine typische „Supply-Chain“-Realität: pip installiert Pre-Releases nicht standardmäßig, sofern man „–pre“ nicht nutzt oder Versionen nicht explizit pinnt. Wer jedoch in frühen Tests oder Experimenten genau solche Pre-Releases installiert hat, ist nach dieser Darstellung tatsächlich exponiert.
Wie die Exploit-Kette im Detail funktioniert, lässt sich als Lehrbuchbeispiel für drei zusammenwirkende Designfehler lesen. Erstens: Der MCP-WebSocket vertraut auf „localhost“ als Schutzmechanismus. Diese Check-Logik soll verhindern, dass ein normaler Browser von einer fremden Website aus die lokale Schnittstelle erreicht. Sobald aber der KI-Browsing-Agent auf derselben Maschine läuft, ist „localhost“ für den Agenten zwangsläufig korrekt—die vertrauenswürdige Identität wird sozusagen vom Angreifer indirekt übernommen. Zweitens: Die Authentifizierungsschicht überspringt MCP-Pfade, weil man davon ausging, der Handler würde selbst Tokens prüfen. Da diese Token-Prüfung fehlt, funktionieren unauthentisierte Requests dennoch. Drittens: Die Endpunkt-Implementierung führt Kommandos ohne Allowlist aus, die aus Parametern direkt in die Ausführungslogik gelangen.
Microsoft ordnet das Verhalten als Forschungsfall ein und meldet keine aktive Ausnutzung in der Praxis. Gleichwohl ist die Proof-of-Concept-Methodik aussagekräftig: Ein „Web Content Summarizer“-Agent lädt eine vom Angreifer gesteuerte URL und triggert dann den Host-Prozess so, dass im Beispiel „calc.exe“ auf dem Entwicklerrechner erscheint—ausgeführt durch den AutoGen-Studio-Prozess. Das zeigt, wie schnell „Browsing“-Fähigkeiten in „Execution“-Fähigkeiten kippen, sobald lokale Schnittstellen erreichbar sind. Für Security-Teams ist das auch deshalb relevant, weil ähnliche Muster in anderen Agent-Frameworks auftauchen können: Eine lokale Schnittstelle mit zu viel Macht plus ein verwechsseltes Vertrauenssignal („localhost“) kann selbst ohne Credential-Phishing funktionieren.
Im Marktkontext ist die Story auch ein Signal an Anbieter, die sich in Richtung KI-Agenten als Schnittstelle zum Unternehmensnetz positionieren. Während AutoGen Studio auf AutoGen setzt, konkurrieren andere Orchestrierungen wie LangChain/LangGraph und Microsofts eigener Semantic Kernel Ansatz um ähnliche Use-Cases—und genau dort sind „Local Services“ und „Tool Calling“ konzeptionell zentral. Laut Sicherheitsangaben und früheren RCE-Fällen hat Microsoft bereits ähnliche Muster bei Semantic Kernel beobachtet, dokumentiert als CVE-2026-26030 und CVE-2026-25592. Branchenbeobachter weisen zudem darauf hin, dass die Kombination aus Browsing, Prompt-Injection und lokalen Tools zunehmend als Phishing-Vektor fungiert; im Umfeld von „ChatGPhish“ wurde etwa der Umstand ausgenutzt, dass Agenten Inhalte aggregieren und dadurch Angriffsoberflächen für unzuverlässige Web-Inputs entstehen. Ein Sicherheitsexperte bringt es sinngemäß auf den Punkt: „Wenn ein Agent nicht nur Daten verarbeitet, sondern Befehle über lokale Schnittstellen auslösen darf, ist Authentifizierung allein kein Schutz—man braucht auch saubere Ausführungsgrenzen und Kontextisolierung.“
Für die Einordnung der Gegenmaßnahmen ist wichtig, wo der Fix liegt: Microsoft und die Maintainer härten den Code im Hauptzweig (GitHub main) bei Commit b047730 (PR #7362). Dabei ändert sich die Logik maßgeblich: Der Handler liest den ausführenden Befehl nicht mehr aus der URL-Request direkt. Stattdessen werden Parameter serverseitig hinter einem einmaligen Session-ID-Mechanismus abgelegt; unbekannte IDs werden abgewiesen. Zusätzlich sollen MCP-Pfade wieder durch den normalen Authentifizierungsweg laufen. Entscheidend ist jedoch der Release-Status: Die Härtung ist laut Analyse noch nicht in einem PyPI-Release angekommen. Damit ergibt sich für Betriebe eine klare Priorität: Wer Pre-Releases eingesetzt hat, muss nicht „nur“ patchen, sondern explizit auf die GitHub-Version ab Commit b047730 umstellen.
Was sollten Unternehmen nun konkret tun? Erstens: Prüfen, ob in Experimenten tatsächlich Pre-Releases wie 0.4.3.dev1 oder 0.4.3.dev2 installiert wurden; ein standardmäßiges „pip install autogenstudio“ auf die stabile 0.4.2.2 sollte nach der Forschung keine MCP-Route enthalten. Zweitens: Bis ein offizielles Paket die Korrektur enthält, sollte der Quellcode-Fix aus GitHub main ab dem genannten Commit genutzt werden. Drittens: Architektonisch sollte der Angriff durch Isolation erschwert werden—etwa indem AutoGen Studio nicht auf derselben Maschine läuft, auf der ein Agent untrusted Inhalte browsen oder Code-Execution-nahe Tools anstoßen darf. Wenn beides zusammen betrieben werden muss, empfiehlt sich eine harte Trennung in Container oder VMs sowie ein Betrieb unter einem niedrig privilegierten Account. Damit wird aus „localhost als Vertrauensanker“ wieder das, was es sein sollte: kein Sicherheitsboundary, sondern nur eine Transportlokation.
Der wichtigste Zukunftseffekt liegt aber in der Mustererkennung: Microsoft beschreibt nicht nur eine konkrete Lücke, sondern erwartet ähnliche Formen in anderen Agent-Frameworks—insbesondere dort, wo lokale Dienste als Tool-Rückgrat dienen und Agenten untrusted Webseiten rendern oder zusammenfassen. Für die KI-Entwicklung bedeutet das, dass Tool-Calling stärker wie „Remote Procedure“ mit strikten Policies behandelt werden muss: Authentifizierung der Control Plane, Allowlisting für Execution und ein Identitätskonzept, das Agenten-Lifecycle und Benutzerkontext sauber trennt. Gleichzeitig verschiebt sich der Wettbewerb: Anbieter, die robuste Sicherheitsarchitekturen in ihre Agenten-Toolchains einbauen, senken die Integrationskosten für Unternehmen. Für Entwickler eröffnet sich damit eine klare Entwicklungsrichtung—sicherere Agenten werden nicht nur besser „smart“, sondern auch besser „sandboxed“, und diese Differenz wird sich zunehmend in Enterprise-Deployments und Audits widerspiegeln.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "AutoJack-Angriff: Wie ein KI-Browsing-Agent lokalen Code ausführen kann" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "AutoJack-Angriff: Wie ein KI-Browsing-Agent lokalen Code ausführen kann" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »AutoJack-Angriff: Wie ein KI-Browsing-Agent lokalen Code ausführen kann« bei Google Deutschland suchen, bei Bing oder Google News!