Agentes de IA con acceso a la web pueden abrir brecha para la ejecución remota de código, alerta Microsoft

Microsoft acaba de encender una alerta sobre una nueva clase de vulnerabilidad que involucra a agentes de inteligencia artificial con acceso a la web. En su investigación AutoJack, la empresa demostró como un agente de navegación — al renderizar una página adulterada— puede comprometer servicios locales vía Model Context Protocol (MCP) y, a partir de entonces, ejecutar órdenes arbitrarias en la máquina del usuario. El objetivo de la prueba de concepto fue el AutoGen Studio, framework de Microsoft para la orquestación de agentes, según el reportaje de CSO Online.

¿Cómo explora el ataque AutoJack agentes de IA?

El ataque explora la confianza que los agentes de IA depositan en el contenido web que consumen. Cuando un agente habilitado para navegación recibe la tarea de visitar un sitio web, baja e interpreta páginas HTML. Si la página contiene scripts maliciosos o referencias engañosas, el agente puede ser inducido a tomar acciones que afectan servicios MCP rodando localmente, por ejemplo, ejecutar órdenes del sistema o acceder a archivos sensibles. Microsoft demostró que, con la ingeniería correcta, el agente puede ser usado como puente para un ataque de ejecución remota de código (RCE) en el host.

¿Por qué agentes de IA inseguros afectan a desarrolladores brasileños?

Con la adopción creciente de agentes de IA en empresas brasileñas, especialmente en automatización de procesos y atención al cliente, la alerta de Microsoft llega en un momento crítico. Muchos desarrolladores están integrando agentes a servicios MCP sin considerar que el navegador incorporado en el agente puede ser una superficie de ataque. Como se destaca recientemente, una crisis de gobernanza con servidores MCP maliciosos ya preocupa el sector. AutoJack muestra que no basta con proteger el servidor MCP si el agente que lo consume puede ser engañado.

¿Cómo protegerse contra la ejecución remota de código en agentes de IA?

Microsoft recomienda que los desarrolladores limiten estrictamente los permisos de los agentes de IA, especialmente aquellos con acceso a la web. Isolar el entorno de ejecución del agente (usando contenedores o sandboxes) impide que un posible compromiso alcance el sistema operativo. Además, es esencial validar el contenido web renderizado y aplicar políticas de seguridad que restrinjan llamadas a servicios MCP locales. La empresa también sugiere que los agentes no ejecuten acciones automáticas basándose exclusivamente en contenido externo sin supervisión humana.

Preguntas frecuentes sobre seguridad en agentes de IA

¿Qué es el Model Context Protocol (MCP)?

Es un protocolo abierto que permite que los agentes de IA se comuniquen con servicios locales o remotos para acceder a datos y ejecutar acciones, como leer archivos o enviar órdenes.

¿El AutoJack afecta a todos los agentes de IA?

No. El ataque fue demostrado contra AutoGen Studio, pero cualquier agente que navegue en la web y tenga acceso a servicios MCP locales puede ser vulnerable si no hay aislamiento adecuado.

¿Cuál es la principal recomendación de Microsoft?

Isolar a los agentes en entornos seguros (sandboxes o contenedores) y limitar los privilegios de acceso a servicios MCP para evitar que una página maliciosa pueda escalar el ataque hasta el sistema host.