A Página da Web Não Conseguiu Acessar o Localhost. Seu Agente a Levou Até Lá.

Você já faz a parte difícil disso. Você autentica suas APIs de produção. Você trata qualquer coisa da internet pública como hostil até que se prove o contrário. E após um ano de relatórios sobre injeção de prompt, você já assume que um agente pode ser direcionado pelo texto que lê.

Há um ponto que quase todos isentam dessas regras: localhost. O serviço vinculado ao loopback recebe um passe, porque por vinte anos "ele só escuta em localhost" significou "um estranho não pode alcançá-lo." A pesquisa AutoJack da Microsoft, publicada em 18 de junho, é o momento em que essa isenção deixa de ser segura. Não porque as regras mudaram, mas porque seu agente silenciosamente moveu localhost para a internet pública. Este não é um novo modelo de ameaça a ser aprendido. É o que você já executa, estendido por um passo para um lugar que você costumava poder pular.

Novato aqui? Proteger a Pilha Agente é uma leitura semanal para operadores sobre onde IA e segurança colidem, mapeada para um modelo estável de seis camadas. Comece com a fundação: a espinha dorsal de seis camadas na Edição 001.

O que a Microsoft realmente encontrou

A AutoJack encadeou três fraquezas em uma versão de desenvolvimento da superfície WebSocket do MCP WebSocket do AutoGen Studio. Reduza ao essencial e são três suposições confiáveis falhando em sequência.

Primeiro, uma lista de permissões de origem confiava em localhost. Isso se mantém quando um navegador humano visita uma página de atacante. Colapsa quando um navegador headless de agente roda em sua estação de trabalho e carrega o alcance local com ele. Segundo, o caminho do WebSocket do MCP pulou o middleware de autenticação do aplicativo, esperando uma verificação que nunca esteve lá. Terceiro, o WebSocket pegou parâmetros de comando diretamente da URL e os entregou ao processo que gera servidores MCP. "Iniciar um servidor MCP" silenciosamente se tornou "iniciar o comando do atacante."

A Microsoft é clara sobre os limites: a rota afetada nunca foi lançada na versão do PyPI, e o branch foi reforçado antes da divulgação. Portanto, o bug específico está contido. A forma dele não está.

Por que isso importa para você, não para o AutoGen

Este é um ataque de deputado confuso, e você já conhece essa forma de injeção de prompt. A reviravolta é qual deputado ficou confuso. Não o modelo desta vez, mas o runtime ao seu redor. O atacante nunca tocou sua máquina. Eles escreveram uma página. Seu agente a buscou, a renderizou ao lado de um serviço local privilegiado, e a suposição que você nunca se preocupou em testar desmoronou: "ele só escuta em localhost" deixou de significar "um estranho não pode alcançá-lo."

Agora aponte essa mesma lente para sua própria pilha. Servidores MCP, pontes de navegador, ajudantes de IDE, ferramentas de arquivo, executores de shell, corretores de credenciais. Você nunca exporia nenhum deles à internet pública sem autenticação. A maioria deles está exposta a ela agora, através do agente, e você não percebeu porque ainda se vinculam ao loopback. O agente é a parte que tornou o loopback acessível. Nada mais mudou.

Onde ele se senta na pilha

Esta é uma falha na camada de Ferramentas, a camada onde o modelo para de falar e começa a tocar a realidade. A AutoJack prova que a camada de Ferramentas não é apenas a ferramenta. É a cola ao redor dela: o WebSocket local, a verificação de autenticação pulada, o analisador de parâmetros, o lançador de processos. Se o conteúdo que seu agente lê pode alcançar essa cola, sua fronteira de ferramenta é decoração.

Colocamos a forense do agente na camada de Auditoria na Edição 005, e movendo a autoridade para fora do loop do agente na camada de Ferramentas na Edição 006. A AutoJack é a falha antes que qualquer um dos dois importe: a autoridade local era acessível por uma página da web porque o agente a atravessou a linha. O "Zero Trust para Agentes de IA" da Anthropic diz a mesma coisa do outro lado. Trate cada chamador como não confiável, incluindo aquele do loopback que você nunca autenticou uma vez.

O que fazer esta semana

Nenhum desses são novos controles. Eles são os controles que você já aplica a qualquer coisa voltada para a internet, agora apontados para o localhost que você costumava pular.

1. Inventarie todos os serviços locais que um agente pode alcançar. Servidores MCP, pontes de navegador, painéis localhost, endpoints de IDE, ajudantes de shell. Se ele se vincula ao loopback, está em escopo. Você já mantém esse inventário para produção. Esta é a linha que você deixou em branco.
2. Exija autenticação em planos de controle locais. "Apenas localhost pode chamar isso" não é autenticação, e você já sabe disso para qualquer outra superfície. Trate WebSockets locais e rotas HTTP como APIs de produção, porque hoje elas são.
3. Elimine o lançamento de processos controlados por URL. Um executor de ferramentas começa a partir de um registro fixo e revisado de comandos. Um parâmetro fornecido pelo usuário nunca deve se tornar o executável. A mesma regra de validação de entrada que você aplica em qualquer outro lugar.
4. Separe a navegação da execução. O processo que renderiza páginas não confiáveis não deve ter caminho direto para o processo que pode gerar ferramentas. A separação de privilégios que você projetaria para qualquer serviço que lida com entrada hostil.
5. Registre a travessia de fronteira. Quando um contexto de navegador dirigido por agente toca um serviço local, isso pertence ao seu registro de auditoria. Você registra eventos de autenticação em qualquer outro lugar. Adicione este.

O padrão a ser seguido

A versão barata da segurança do agente é "sandbox o modelo." A AutoJack é o lembrete de que o modelo nunca foi a parte perigosa. A parte perigosa é o conector entediante que assumiu que cada chamador era um amigo. O trabalho da SafeBreach com o Gemini este mês rima com isso: um assistente processando conteúdo não confiável se tornou o caminho através de uma fronteira que ninguém estava observando.

Então aqui está sua única pergunta para a semana. Depois que seu agente terminar de navegar, o que ele ainda pode alcançar? Vá descobrir antes que alguém escreva a página que pede por você.

• Neeraj

Ir mais fundo

• Blog de Segurança da Microsoft: AutoJack: Como uma única página pode RCE o host que executa seu agente de IA
• Anthropic: Zero Trust para Agentes de IA
• SafeBreach Labs: O Segredo de Gemini: Explorando o Assistente de Voz Gemini Através de Aplicativos de Mensagens Instantâneas
• Edição 001: a espinha dorsal de seis camadas para proteger a pilha agente