AIエージェントをlocalhostで動かす前に確認したいこと: AutoJackから学ぶ安全チェックリスト

AIエージェントをローカルで動かすとき、localhost に閉じているから安全だと思いがちです。

localhostでも危ないのは、外部ページからローカル制御面まで経路がつながる場合です。エージェントや内蔵ブラウザが未信頼ページを能動的にレンダリングし、同じマシン上のローカル制御面にも触れるなら、未信頼ページの影響を受けたネットワーク・ツール呼び出しが、開発者のマシン上の制御面へ届くことがあります。

この記事では、Microsoftが2026年6月18日に公開したAutoJackの解説を題材に、AIエージェントをローカルで試す前に何を確認すべきかを整理します。

先に結論

AutoJackから学ぶべきことは、AutoGen Studioだけの個別バグではありません。

AIエージェントが未信頼Webコンテンツを能動的にレンダリングする、または未信頼入力の影響を受けたネットワーク・ツール呼び出しが可能なら、localhost上の制御面も攻撃面として扱う。

特に次の組み合わせは危険です。

• エージェントや内蔵ブラウザが未信頼ページのJavaScriptを実行する
• browser workerやagent processからloopback・private networkへ到達できる
• WebSocket、MCP、debug API、code runnerが独立した認証・認可を持たない
• 外部入力由来のcommand / args / envがプロセス起動へ渡される
• エージェントが開発者と同じOSユーザー・browser profile・credentialを共有する

この記事で行うのは、公開情報の事実整理、wheelの静的確認、ローカルMockによる設計チェックです。

この記事の使い方

この記事は個別脆弱性の再現手順ではなく、localhost境界設計の確認記事です。脆弱な版の導入、起動、接続試行、攻撃再現は扱いません。

まず自分の環境で見るなら、この5点です。これは危険条件のスクリーニングなので、該当あり または 不明 があれば、後半の実務チェックリストへ進みます。

危険条件	状態
未信頼Webページや外部issueをエージェントが読む	該当あり / 該当なし / 不明
ブラウザ処理やエージェント本体からlocalhostやprivate networkへ届く	該当あり / 該当なし / 不明
WebSocket、MCP、debug API、code runnerが認証なしで動く	該当あり / 該当なし / 不明
URLやモデル出力から起動コマンド・引数・環境変数へ値が流れる	該当あり / 該当なし / 不明
普段使いのOSユーザーやcredentialを共有している	該当あり / 該当なし / 不明

用語は次の意味で使います。

用語	この記事での意味
loopback / localhost	自分のPC自身を指す通信先。localhost や 127.0.0.1 など
private network	社内LANやコンテナネットワークなど、外部公開されていない範囲
MCP	AIエージェントが外部ツールやローカル機能へ接続するための仕組み
code runner	コードやコマンドを実行する機能
credential	APIキー、Cookie、SSH agent、ログイントークンなどの認証情報

根拠の種類

根拠の種類	この記事での扱い
公式一次情報	Microsoft Security Blogを主な根拠として使う
独立情報	BleepingComputer、TechRadarで影響範囲と論点を照合する
静的確認	配布物と公開コードを実行せずに読む確認
Mock・仮想実験	AutoJack再現ではなく、境界設計の補助例
推論	localhost境界設計へ一般化する読み方
未確認	PoC成立条件、現行環境での再現性、網羅的な上位middleware確認

参考リンク

根拠は本文中で要点だけ使い、詳細はここにまとめます。
リンク先は根拠確認用です。脆弱版の導入、起動、接続試行、攻撃再現は推奨しません。

種別	リンク	この記事での扱い
公式一次情報	Microsoft Security Blog: AutoJack	主な根拠
配布物	PyPI: autogenstudio 0.4.2.2	stable配布物の確認
配布物	PyPI: autogenstudio 0.4.3.dev1 / 0.4.3.dev2	pre-release配布物の確認
公開コード	mcp.py at 13e144e	修正前MCP WebSocket handlerの確認
公開コード	middleware.py at 13e144e	HTTP向けmiddlewareとの関係確認
公開コード	fix commit b047730	server-side storageとone-time session IDへの修正確認
標準仕様	RFC 6455: The WebSocket Protocol	WebSocket Originの意味確認
独立情報	BleepingComputer	影響範囲と修正状況の照合
独立情報	TechRadar	読者向けの要約観点の照合
Codex公式	Agent approvals & security	sandbox modeとapproval policyの確認
Codex公式	Custom instructions with AGENTS.md / Agent Skills	repo指示とSkillの位置づけ確認

確認日: 2026-06-24

この記事の読み方

この記事は3部構成です。

1. AutoJackの事実整理: Microsoftの説明、公開コード、配布物から読めること
2. ローカルMock: その事実を一般化するときに見落としやすい設計観点
3. 実務チェックリスト: 自分のAIエージェントをローカルで試す前の確認項目

大事なのは、AutoJack本体の話と、この記事の自作Mockを混ぜないことです。AutoJackの事実整理は公開情報と静的確認に基づくものです。Mockは、その読み方を実務チェックへ変換するための補助例です。

先にこの記事の立場を明確にすると、主張は次です。

AIエージェントをローカルで動かすときは、localhostかどうかではなく、未信頼入力からローカル制御面までの経路を確認する。

PoC未実行や静的確認止まりであることは、末尾の「今回の限界」にまとめます。

1. AutoJackの事実整理

Microsoftの説明では、AutoJackはAutoGen Studioの開発中のMCP WebSocket面に関する脆弱性チェーンとして説明されています。主な要素は次の3つです。

1. localhostを信頼したOrigin制御
2. MCP / WebSocket経路の認証不足
3. クライアント指定のserver_paramsに含まれるcommand / argsがプロセス起動へ渡されたこと

少なくとも修正直前の公開コードにある当該handler単体の静的確認では、MCP WebSocket handler自体にOrigin検証や認証呼び出しが見当たりません。また、利用されていたHTTP向けmiddlewareはWebSocket scopeを同じようには処理しない構造です。これは上位層や全デプロイ設定を網羅確認したという意味ではありません。

標準的なWebSocketのOriginは、接続先ではなく接続を開始したページのOriginです。そのため、単に「同じマシンだからlocalhost Originになる」と読むのは不正確です。本稿ではPoCを再現していないため、localhost Originが成立した具体的な機構までは断定せず、「WebSocket接続に有効なOrigin検証と認証が不足していた」と整理します。

Microsoft公式は、PyPIから通常インストールするAutoGen Studioユーザーは、この特定の脆弱性チェーンには露出しないと説明しています。本稿では、この説明をstable installに関する説明として扱います。一方、PyPIには0.4.3.dev1と0.4.3.dev2というプレリリースも存在します。

この記事では、配布ファイルをインストール・実行せず、筆者の静的確認の範囲で読みました。安定版0.4.2.2には autogenstudio/web/routes/mcp.py が含まれず、0.4.3.dev1 / 0.4.3.dev2には同ファイルが含まれ、WebSocket queryからserver_paramsを復号してStdioServerParametersへ渡す処理がありました。

観点	この記事で確認したこと	読み方
Microsoft公式説明	AutoJackは、未信頼ページを能動的に扱うエージェントがlocalhost制御面へ届く例として説明されている	localhost制御面を認証・認可なしで信頼しない
stable配布物	通常の pip install autogenstudio で入る安定版0.4.2.2は、問題のMCP WebSocket面を含まず影響外と説明されている	stable installの説明と、PyPI上の全artifactの話を分ける
開発版配布物	0.4.3.dev1 / 0.4.3.dev2には当該MCP routeと関連文字列が含まれていた	脆弱性成立の確認ではない。開発版配布物は安定版とは別に扱い、静的確認の範囲で読む
独立記事	影響範囲は限定的とされつつ、localhost制御面の認証・隔離が重要だと要約されている	個別バグではなく、ローカル境界設計の教訓として読む

ここから持ち出せる教訓は、「localhostだから安全」ではなく、「未信頼入力からローカル制御面までの経路を切るべき」ということです。

2. ローカルMockで見た設計観点

ここからはAutoJack本体の検証ではありません。記事筆者が作ったローカルMockによる仮想実験、つまり設計レビュー用のシナリオ分析です。PoCは実行しておらず、脆弱性成立を確認する節ではありません。

比較したのは次の2つだけです。

比較対象	判断の癖
比較元	接続先がlocalhost / loopbackであることを安全根拠として許可する
防御寄り案	未信頼コンテンツ由来を疑い、制御面に認証・認可・allowlist・隔離を確認観点に入れる

固定ケースでは、未信頼ページのJavaScriptがloopback上のWebSocketへ接続する場面、WebSocket handlerに独立した認証がない場面、queryから起動コマンド・引数・環境変数を受け取る場面などを置きました。成功条件は、危険条件を許可せず、拒否または人間承認へ回す判定になることです。非成功条件は、localhostであることだけを根拠に許可することです。

このシナリオ分析では、防御寄り案として少なくとも次の観点を残すべきだと整理しました。

• WebSocketのOrigin検証、認証、操作単位の認可
• server-side parameter binding
• 実行ファイルと引数schemaのallowlist
• loopback / private / link-local / metadata endpointへのegress制御
• 低権限ユーザー、container、VMによる隔離
• process tree、network destination、tool decisionの監査ログ

この比較で重要なのは、防御寄り案が「localhost」「WebSocket認証」「起動コマンド・引数の受け渡し」を別々の論点としてではなく、未信頼Webコンテンツからローカル制御面までの経路として扱う点です。レビュー観点としては、この見方の方が漏れを減らしやすくなります。

Codexを使う場合も確認したい論点は同じです。未信頼入力を起点にした操作は、いきなり実行可能な操作へ流さず、拒否または人間承認に回す設計にします。筆者が用意した7つの固定ケースでは、期待判定と一致しました。

固定ケースのカテゴリ	期待判定	この確認で言えること
未信頼Web入力からローカル制御面へ届く	拒否または人間承認	危険条件を見落とさないチェック観点になる
外部入力由来の起動コマンド・引数がある	拒否または人間承認	直接実行へ流さない判断を確認できる
認証なしのdebug APIやcode runnerがある	拒否または人間承認	認証・認可の確認を促せる

これは補助例であり、Codex本体、sandbox実装、MCP通信、モデル判断、OS・ネットワーク隔離の安全性を証明するものではありません。

3. 実務チェックリスト

AIエージェントにWeb閲覧、MCP、ツール実行、ローカルAPI連携を持たせるなら、まずここを見ます。最初から全部を完璧に監査するより、「未信頼入力がローカル制御面やツール実行に届くか」を潰すのが現実的です。

分類	まず見ること	危険サイン	最低限の対策
未信頼入力	Webページ、issue、PR、メール、MCP応答の入力元を保持し、HTMLをテキスト化するだけかJavaScriptまで実行するかを分ける	入力元がログに残らない	入力元と信頼レベルを保持する
ネットワーク	ブラウザ処理やエージェント本体からloopback、private IP、link-local、metadata endpointへ届くか確認する	未信頼ページ処理中でもlocalhostへ接続できる	到達可否を確認し、必要なら遮断・proxy・隔離を選ぶ
ローカル制御面	WebSocket、MCP、debug API、code runnerに独立した認証・操作単位の認可・短寿命sessionがあるか確認する	localhostだけを認証代わりにしている	認証、操作単位の認可、短寿命sessionを置く
プロセス実行	起動コマンド、引数、環境変数、作業ディレクトリをURLやモデル出力から直接受け取らず、実行ファイルと引数schemaをallowlist化する	URLやモデル出力がそのまま引数になる	実行ファイルと引数schemaをallowlist化する
隔離	普段使いユーザーとは別OSユーザー、container、VMのどれかで動かし、credentialやSSH agentを共有しない	開発者のcredentialを共有している	低権限ユーザー、container、VMで分ける
監査と停止	process tree、network destination、tool call、policy decisionを記録し、即時停止とcredential rotationを試しておく	何を実行したか追えない	監査ログと停止手順を先に作る

特に、localhost only は防御策の一部であって、認証の代わりにはなりません。

localhostは「外部ネットワークから直接届きにくい」という到達制限であって、「同じホスト上の別プロセスを信頼してよい」という認可判断ではありません。egress遮断の実現方法は、ブラウザ実行環境、OS firewall、container network、proxy、DNS / redirect検査など環境ごとに異なります。

使わない方がよい場面

次の状態なら、ブラウジング可能なAIエージェントとローカル制御面を同じ環境で動かすのは避ける選択肢になります。

• daily driverのOSユーザーでエージェントを動かしている
• debug APIやMCPサーバーが認証なしで動いている
• ツール起動のallowlistがない
• 外部Webページ、issue、PR、コメントをそのままエージェントに読ませる
• 失敗時にどのプロセスが何を実行したか追跡できない

リスクを下げて試すなら

AIエージェントをローカルで試すときは、次の順に進めるのが現実的です。

1. ブラウジング、ファイルアクセス、コマンド実行、MCP接続を一覧化する
2. localhost、Unix socket、Docker socketを含むローカル制御面をすべて列挙する
3. ブラウザ処理とエージェント本体からloopback・private・link-localへの到達可否を確認し、必要なら遮断・proxy・隔離を選ぶ
4. 各制御面に独立した認証、操作単位の認可、allowlistがあるか確認する
5. エージェントを低権限ユーザー、コンテナ、VMのどれかに隔離する
6. process tree、network destination、tool call、policy decisionを記録する
7. 本番credentialではなく検証用credentialで、即時停止と無効化手順を確認する

環境により実装方法は異なります。ここでは設定コマンドは示さず、確認すべき境界と失敗条件だけを固定します。

チームで試す場合は、最低限この運用を決めます。

担当	承認すること	保存ログ	停止・再開条件
agent owner	エージェントが読む外部入力と使うツール	input source、tool call、policy decision	未信頼入力から制御面へ届く経路を見つけたら停止
security reviewer	WebSocket、MCP、debug API、code runnerの認証・認可	network destination、auth decision	認証なし制御面があれば停止
infra owner	loopback、private network、container、VMの到達制限	process tree、network log	隔離なしでcredential共有があれば停止
credential owner	検証用credentialと無効化手順	credential scope、approver	本番credentialを使ったら停止、検証用に戻して再開

導入判断は次のように分けます。

判定	条件
禁止	認証なしのローカル制御面へ未信頼入力から届く
条件付き検証	検証用credential、隔離、監査ログ、停止手順がある
限定運用	対象ツールと到達先がallowlist化され、人間承認が残っている
本番不可	停止後のログ保全、credential無効化、再開条件が決まっていない

今回の限界

• 実攻撃やPoCは実行していない
• AutoGen Studioの現行版をローカルで実行検査したわけではない
• wheel確認は静的確認であり、脆弱性チェーンの成立確認ではない
• ローカルMockは設計レビュー用のシナリオ分析であり、実環境の安全性や網羅性を示すものではない
• Codex向けの固定ケース一致は、自作ポリシー判定の確認であり、Codex本体、sandbox実装、MCP通信、モデル判断、OS・ネットワーク隔離の安全性を証明しない
• 記事内の検証では、OpenAI APIによる性能測定や外部公開API送信は行っていない

まとめ

AutoJackの読みどころは、「この特定バグが怖い」ではなく、未信頼Webコンテンツ、ブラウジングエージェント、ローカル制御面、ツール実行がつながると、従来の開発用前提が崩れることです。

AIエージェントの安全確認は、モデル性能より先に、境界設計を見るところから始めます。この順番の方が、危険な経路を早く潰せます。