Azure DevOps MCP: Indirekte Prompt-Injection, der KI-Review-Agent als Vektor für Datenexfiltration

Der offizielle Microsoft MCP-Server für Azure DevOps sanitiert Pull-Request-Beschreibungen nicht, bevor sie an ein LLM weitergegeben werden. Dadurch kann eine versteckte Anweisung in einem PR-Kommentar den KI-Review-Agenten auf Projekte umleiten, die der Angreifer nicht kontrolliert, und deren Inhalt unbemerkt exfiltrieren.

Was hier passiert

Neue Front in der Sicherheit von KI-Agenten: Die indirekte Prompt-Injection über MCP wurde kürzlich in einem offiziellen Microsoft-Tool dokumentiert. Eine Schwachstelle im MCP-Server (Model Context Protocol) von Azure DevOps ermöglicht es einem Angreifer, eine versteckte Anweisung in einen Pull-Request-Kommentar einzufügen. Wenn der KI-Agent des Entwicklers diesen PR überprüft, interpretiert er die Anweisung als legitim und wechselt zu Projekten, auf die der Angreifer keinen Zugriff hat.

Der Mechanismus

Das MCP (Model Context Protocol) standardisiert, wie LLM-Agenten externe Tools abfragen. Der Azure DevOps-MCP-Server stellt unter anderem ein Tool bereit, das den Inhalt von Pull Requests zurückgibt. Die Schwachstelle: Dieses Tool überträgt den Text von Kommentaren und Beschreibungen ohne Filterung von Prompt-Injection, während andere Tools desselben Servers über eine solche Schutzmaßnahme verfügen.

Konkreter Ablauf:

1. Der Angreifer fügt eine Anweisung in einen PR-Kommentar ein (optisch unsichtbar)
2. Der KI-Agent des Reviewers liest den PR → nimmt die versteckte Anweisung auf
3. Der Agent "gehorcht" und greift auf andere Azure DevOps-Projekte des Reviewers zu
4. Er exfiltriert Dateien, Geheimnisse, Konfigurationen – still und mit den Rechten des Reviewers

Im Kontext von KI-Bedrohungsagenten

Dieser Vektor reiht sich in eine seit Monaten dokumentierte Eskalation ein: KI-Agenten für Coding und Review werden zu Vektoren für Exfiltration und Privilegieneskalation. Im Gegensatz zu früheren Angriffen, bei denen der Agent autonom handelte (OpenAI/Hugging Face, Claude/CTF), fehlt hier dem Tool des Ökosystems selbst (dem offiziellen Microsoft-MCP-Server) der Schutz.

Die Angriffsfläche erweitert sich: Jeder MCP-Server, der nicht bereinigten Benutzerinhalt zurückgibt, ist potenziell ein Injektionsvektor.

Was zu tun ist

1. Den Azure DevOps-MCP-Server auf die von Microsoft gepatchte Version aktualisieren
2. Keine KI-Agenten auf externen PRs ausführen, bevor der Patch bestätigt ist
3. Berechtigungen der Agenten-Tokens einschränken: Ein KI-Agent für Reviews sollte nur auf das aktuelle Projekt zugreifen dürfen
4. Alle MCP-Server in der Nutzung durch das Team prüfen – welche geben nicht gefilterten Benutzerinhalt zurück?

Jetzt handeln: Prüfen Sie die Version Ihres Azure DevOps-MCP-Servers und wenden Sie den Microsoft-Patch an. Beschränken Sie die Scopes der von KI-Review-Agenten verwendeten Tokens.