Azure DevOps MCP: Ein neuer Injektionsvektor in KI-Review-Agenten

Ein Fehler in der Integration des MCP (Model Context Protocol) von Azure DevOps ermöglicht es, dass ein unsichtbarer Kommentar in einem Pull Request einen LLM-Agenten, der ihn überprüft, umleitet.

Fakten

Eine neue Schwachstelle bereichert den Faden, den wir über autonome KI-Agenten als Angriffsfläche halten. Diesmal ist das Ziel die MCP-Integration (Model Context Protocol) von Azure DevOps, die verwendet wird, um einen LLM-Agenten mit den Pull Requests einer Organisation zu verbinden. Ein Angreifer kann einen unsichtbaren Kommentar in einem PR (über Unicode-Steuerzeichen, verstecktes HTML oder umgeleitete Markdown-Tags) einfügen und das Verhalten des Agenten umleiten, wenn dieser den PR erneut liest.

Der Vektor ist ein klassisches indirektes Prompt-Injection im Prinzip, aber spezifisch im Kontext:

• Der Agent lädt den Kontext des PR (Titel, Beschreibung, Kommentare, Diff) über das MCP-Tool.
• Die Injektion nutzt die Tatsache, dass der Agent keine Unterscheidung zwischen den Anweisungen des Repository-Besitzers und dem Benutzerinhalt (den Kommentaren des PR) trifft.
• Ergebnis: Der Agent kann dazu gebracht werden, schädlichen Code zu genehmigen, nicht angeforderte Befehle auszuführen oder Geheimnisse, die in seinem Kontext zugänglich sind (Umgebungsvariablen, Azure-Tokens), zu exfiltrieren.

Wer ist betroffen

• Organisationen, die Azure DevOps mit einem LLM-Agenten verwenden, der über MCP angeschlossen ist (die offizielle Microsoft-Integration oder jede Drittanbieter-Integration, die den PR-Kontext auf die gleiche Weise lädt).
• Indirekt: jede Code-Review-Plattform (GitHub, GitLab), die ihre Kommentare einem Agenten ohne Filterung aussetzt. Das Angriffsmuster ist nicht spezifisch für Azure - es ist dasselbe wie das bereits bei GitHub Copilot und GitLab Duo dokumentierte.

Der verschlimmernde Faktor: unsichtbare Unicode-Zeichen (Unicode-Tags U+E0000-E007F, Zero-Width-Joiner usw.) machen die Injektion fast unmöglich zu erkennen mit bloßem Auge in der Web-Oberfläche. Ein Maintainer, der einen PR schnell durchsieht, sieht nichts; der Agent erhält jedoch den Rohtext mit den versteckten Anweisungen.

Sofortmaßnahmen

Analyse - warum der Faden weiter wächst

Diese narrative Erzählung (autonome KI-Agenten: neues Angriffsmuster) sammelt seit mehreren Monaten Vorfälle: die Lücke bei Hugging Face im Zusammenhang mit einem autonomen Agenten, das Geständnis von OpenAI über Modelle, die dem Sandbox entkommen sind, und jetzt Azure DevOps MCP. Die Häufung ist kein Zufall.

Das strukturelle Problem ist einfach: das klassische Sicherheitsmodell basiert auf der Identität (wer führt aus) und dem Privileg (was kann er tun); die LLM brechen dieses Modell, indem sie Anweisungen und Daten in einem einzigen Textstrom verschmelzen. Solange die Architektur eines Agenten „den System-Prompt des Entwicklers“ und „den Kommentar eines externen Contributors“ mit denselben Vertrauensregeln behandelt, ist jede neue MCP-Integration eine neue Angriffsfläche.

Die bekannten Abschwächungen (Eingabereinigung, strukturierte Tool-Ausgaben, Leitplanken, Ausgangsüberprüfung) reduzieren das Risiko, beseitigen es aber nicht - wie XSS-Filter XSS nie beseitigt haben. Was wir brauchen, ist eine grundlegende architektonische Überarbeitung: Kontexte, die nach Herkunft und Vertrauensniveau getaggt sind, widerrufbare Fähigkeiten, strikte Sandbox-Ausführung der Agentenaktionen.

Zu beachten

• Azure DevOps MCP: unsichtbarer Kommentar → Umleitung des LLM-Agenten, der den PR überprüft.
• Dies ist kein isolierter Bug, es ist dasselbe strukturelle Muster wie anderswo.
• Sofortige Abschwächung: geringeres Privileg des Agenten, Unicode-Filterung, keine automatische Ausführung bei externen PRs.