Исследователи Microsoft обнаружили критическую уязвимость под названием AutoJack, которая позволяет злоумышленникам получить контроль над хост-системой, где запущен ИИ-агент. Проблема заключается в том, что агент может выполнить вредоносный код, просто посетив специально подготовленную веб-страницу. В процессе обработки контента страницы агент непреднамеренно интерпретирует скрытые инструкции как команды для выполнения в операционной системе.
Атака эксплуатирует механизмы взаимодействия агентов с внешними инструментами и браузерными средами. Когда агент переходит по ссылке, встроенные в страницу скрипты или метаданные могут спровоцировать выполнение произвольных команд (RCE) с правами доступа, предоставленными самому агенту. Это создает серьезную угрозу для систем, использующих автономных помощников для поиска информации, анализа веб-ресурсов или автоматизации рабочих процессов.
Для минимизации рисков эксперты рекомендуют внедрять строгую изоляцию сред выполнения для ИИ-агентов, ограничивая их доступ к системным вызовам и файловой системе. Также необходимо использовать песочницы (sandboxing) при обработке внешнего контента и проверять все входящие данные на наличие подозрительных инструкций перед их передачей в модель. Разработчикам систем автоматизации следует пересмотреть политики доступа агентов к инструментам исполнения кода, чтобы предотвратить несанкционированное выполнение операций на стороне сервера.