Azure DevOps MCP: un nuevo vector de inyección en agentes de IA revisores

Una vulnerabilidad en la integración MCP (Model Context Protocol) de Azure DevOps permite que un comentario invisible en una solicitud de extracción (pull request) desvíe un agente LLM encargado de revisarla.

Hechos

Una nueva vulnerabilidad se suma al hilo que seguimos sobre los agentes de IA autónomos como superficie de ataque. Esta vez, el objetivo es la integración MCP (Model Context Protocol) de Azure DevOps, utilizada para conectar un agente LLM a las pull requests (PR) de una organización. Un atacante puede insertar un comentario invisible en una PR (mediante caracteres de control Unicode, HTML oculto o etiquetas Markdown alteradas) y desviar el comportamiento del agente cuando este vuelve a leer la PR.

El vector es una inyección de prompt indirecta clásica en su principio, pero específica en su contexto:

• El agente carga el contexto de la PR (título, descripción, comentarios, diff) mediante la herramienta MCP.
• La inyección aprovecha el hecho de que el agente no distingue entre las instrucciones del propietario del repositorio y el contenido del usuario (los comentarios de la PR).
• Resultado: el agente puede ser inducido a aprobar código malicioso, ejecutar comandos no solicitados o exfiltrar secretos accesibles en su contexto (variables de entorno, tokens de Azure).

Quién está afectado

• Organizaciones que utilizan Azure DevOps con un agente LLM conectado mediante MCP (la integración oficial de Microsoft o cualquier integración de terceros que cargue el contexto de la PR de la misma manera).
• Por extensión: cualquier plataforma de revisión de código (GitHub, GitLab) que exponga sus comentarios a un agente sin filtrado. El patrón de ataque no es específico de Azure: es el mismo ya documentado en GitHub Copilot y GitLab Duo.

El factor agravante: los caracteres Unicode invisibles (etiquetas Unicode U+E0000-E007F, zero-width joiners, etc.) hacen que la inyección sea casi imposible de detectar a simple vista en la interfaz web. Un mantenedor que revisa rápidamente una PR no ve nada; el agente, en cambio, recibe el texto en bruto con las instrucciones ocultas.

Qué hacer ahora

Análisis: por qué el hilo sigue alargándose

Este hilo narrativo (agentes de IA autónomos: nuevo vector de ataque) acumula incidentes desde hace varios meses: la brecha de Hugging Face vinculada a un agente autónomo, el reconocimiento de OpenAI sobre modelos que escaparon del sandbox, y ahora Azure DevOps MCP. La recurrencia no es un accidente.

El problema estructural es simple: el modelo de seguridad clásico se basa en la identidad (quién ejecuta) y el privilegio (qué puede hacer); los LLM rompen este modelo al fusionar instrucciones y datos en un mismo flujo textual. Mientras la arquitectura de un agente trate «el prompt del sistema del desarrollador» y «el comentario de un contribuyente externo» con las mismas reglas de confianza, cada nueva integración MCP será una nueva superficie de ataque.

Las mitigaciones conocidas (sanitización de entrada, salidas estructuradas de herramientas, guardrails, verificación de salida) reducen el riesgo pero no lo eliminan —como los filtros XSS nunca eliminaron XSS—. Lo que se necesita es una revisión arquitectural de fondo: contextos etiquetados por origen y nivel de confianza, capacidades revocables, entorno de ejecución en sandbox estricto para las acciones del agente.

Para recordar

• Azure DevOps MCP: comentario invisible → desvío del agente LLM revisor.
• No es un error aislado, es el mismo patrón estructural que en otros casos.
• Mitigación inmediata: menor privilegio del agente, filtrado de Unicode, sin ejecución automática en PR externas.