Όταν το Localhost
Σταμάτησε να
Είναι Ασφαλές

Η Αποκάλυψη

Στις 18 Ιουνίου 2026, η ομάδα Defender Security Research της Microsoft δημοσίευσε ευρήματα μιας εσωτερικής έρευνας πάνω στην ασφάλεια AI agent frameworks. Το αποτέλεσμα: μια αλυσίδα τριών ευπαθειών στο AutoGen Studio — το open-source εργαλείο πρωτοτυποποίησης της Microsoft για multi-agent AI συστήματα — που ονόμασαν AutoJack.

Το σενάριο είναι ανησυχητικά απλό: ένας developer τρέχει το AutoGen Studio με έναν browsing agent. Ο agent επισκέπτεται μια ιστοσελίδα — οποιαδήποτε ιστοσελίδα, ίσως μέσω ενός link που στάλθηκε σε prompt injection ή απλά μέσα από κανονική περιήγηση. Η σελίδα περιέχει JavaScript που ανοίγει WebSocket σύνδεση προς μια τοπική υπηρεσία. Και αυτή η σύνδεση, χωρίς κανένα credential, μπορεί να εκτελέσει αυθαίρετες εντολές στον υπολογιστή.

Η Αλυσίδα των Τριών Αδυναμιών

Η Microsoft είναι ξεκάθαρη: καμία από τις τρεις ευπάθειες δεν είναι, μόνη της, ιδιαίτερα ανησυχητική. Μαζί, όμως, σχηματίζουν πλήρες exploit chain. Η σειρά εδώ έχει σημασία — κάθε βήμα ανοίγει την πόρτα στο επόμενο.

Ο Κώδικας του Exploit — Απλοποιημένη Ροή

JAVASCRIPT — ΥΠΟΘΕΤΙΚΟ ATTACKER PAGE// Σελίδα που επισκέπτεται ο browsing agent
const payload = btoa(JSON.stringify({
  command: "calc.exe"  // ή οτιδήποτε άλλο
}));

// Άνοιγμα WebSocket προς το τοπικό MCP endpoint
const ws = new WebSocket(
  `ws://localhost:8081/api/mcp/ws/session?server_params=${payload}`
);

// Καμία authentication. Καμία προειδοποίηση.
// Η εντολή εκτελείται στο host του developer.

Το Fix — Πώς Διορθώθηκε

PATCH SUMMARY — COMMIT b047730✓ Server-side parameter binding
  Το WebSocket handler δεν διαβάζει πλέον server_params από το URL.
  Νέο route: POST /api/mcp/ws/connect
  Οι παράμετροι αποθηκεύονται server-side, keyed by UUID session.

✓ MCP routes περνούν τώρα από το κανονικό authentication path

✓ Άγνωστα session IDs απορρίπτονται αυτόματα

Πού Ακριβώς Σπάει το Trust Boundary

Το κρίσιμο σημείο για να καταλάβεις το AutoJack δεν είναι ο κώδικας — είναι η έννοια του ορίου εμπιστοσύνης. Πάτα τα κουμπιά παρακάτω για να δεις πώς η ίδια αρχιτεκτονική γίνεται επικίνδυνη μόνο όταν προστίθεται ένας browsing agent.

Το localhost ήταν για χρόνια μια ασφαλής υπόθεση: αν κάτι τρέχει στην ίδια μηχανή, εμπιστεύεται. Η Microsoft το θέτει απόλυτα ξεκάθαρα: όταν ένας agent μπορεί ταυτόχρονα να διαβάζει μη έμπιστο web περιεχόμενο και να μιλάει με προνομιούχες τοπικές υπηρεσίες, το localhost παύει να είναι όριο εμπιστοσύνης.

Ποιον Αφορά Πραγματικά;

Πριν πανικοβληθείς, διάβασε προσεκτικά την εμβέλεια. Το AutoJack δεν είναι mass-exploitation event εναντίον published package — είναι research finding σε development branch.

Δεν Είναι το Μοναδικό Περιστατικό

Το AutoJack εντάσσεται σε ένα ευρύτερο pattern που εμφανίστηκε επανειλημμένα μέσα στο 2026:

Πώς Προστατεύεσαι Σήμερα

Αν Χρησιμοποιείς AutoGen Studio

BASH# Έλεγξε ποια έκδοση έχεις
pip show autogenstudio

# Αν βλέπεις 0.4.3.dev1 ή 0.4.3.dev2 — ΕΝΗΜΕΡΩΣΕ ΑΜΕΣΑ
pip uninstall autogenstudio
pip install autogenstudio==0.4.2.2

# Ή, αν χρειάζεσαι MCP support, χτίσε από GitHub main
# ΜΕΤΑ το commit b047730:
git clone https://github.com/microsoft/autogen
cd autogen/python/packages/autogen-studio
git log --oneline | grep b047730  # επιβεβαίωση ότι το fix υπάρχει

Γενικές Αρχές για Κάθε MCP-Based Εργαλείο

Defender Hunting Query — Αν Είσαι Security Team

KQL — MICROSOFT DEFENDER// Ανίχνευση ύποπτων child processes από autogenstudio host
DeviceProcessEvents
| where InitiatingProcessFileName has "autogenstudio"
| where FileName in~ ("calc.exe", "powershell.exe", "cmd.exe", "bash")
| where InitiatingProcessCommandLine has "mcp"
| project Timestamp, DeviceName, FileName,
          ProcessCommandLine, InitiatingProcessFileName
| order by Timestamp desc

Το Localhost Δεν Είναι Πια Φρούριο

Για δεκαετίες, "localhost only" ήταν συνώνυμο του "ασφαλές". Developer tools, dashboards, internal APIs — όλα βασίζονταν σε αυτή την υπόθεση χωρίς δεύτερη σκέψη. Το AutoJack δείχνει γιατί αυτή η υπόθεση έχει ήδη σπάσει.

Η αιτία δεν είναι κάποιο μοντέλο AI που "σκέφτηκε λάθος". Είναι αρχιτεκτονική: όταν δίνεις σε έναν agent ταυτόχρονα δύο ικανότητες — να διαβάζει μη έμπιστο web περιεχόμενο, και να μιλάει με προνομιούχες τοπικές υπηρεσίες — δημιουργείς ένα γέφυρωμα που κανείς δεν σχεδίασε ρητά.

Το καλό νέο είναι ότι αυτή τη φορά το βρήκε η Microsoft πριν φτάσει σε κανέναν χρήστη. Το κακό νέο είναι ότι, όπως η ίδια προειδοποιεί, το ίδιο σχήμα ευπάθειας θα εμφανιστεί ξανά — σε άλλο framework, από άλλη ομάδα, ίσως όχι με την ίδια τύχη στο responsible disclosure.