Azure DevOps MCP: inyección de prompt indirecta, el agente de IA de revisión como vector de exfiltración

El servidor MCP oficial de Microsoft para Azure DevOps no sanitiza las descripciones de pull requests antes de pasarlas a un LLM. Como resultado, una instrucción oculta en un comentario de PR puede redirigir al agente de revisión de IA hacia proyectos que el atacante no controla, y exfiltrar silenciosamente su contenido.

Lo que está sucediendo

Nuevo frente en la seguridad de los agentes de IA: la inyección de prompts indirecta a través de MCP acaba de ser documentada en una herramienta oficial de Microsoft. Una vulnerabilidad en el servidor MCP (Model Context Protocol) de Azure DevOps permite a un atacante insertar una instrucción oculta en un comentario de solicitud de extracción. Cuando el agente de IA de revisión de un desarrollador lee esta PR, interpreta la instrucción como legítima y pivota hacia proyectos a los que el atacante no tiene acceso.

El mecanismo

El protocolo MCP (Model Context Protocol) estandariza la forma en que los agentes LLM consultan herramientas externas. El servidor MCP de Azure DevOps expone, entre otras cosas, una herramienta que devuelve el contenido de las solicitudes de extracción. La vulnerabilidad: esta herramienta transmite el texto de los comentarios y descripciones sin filtrar las inyecciones de prompts, mientras que otras herramientas del mismo servidor sí cuentan con esta protección.

Secuencia concreta:

1. El atacante inserta una instrucción en un comentario de PR (invisible visualmente)
2. El agente de IA del revisor lee la PR → ingiere la instrucción oculta
3. El agente "obedece" y accede a otros proyectos de Azure DevOps del revisor
4. Exfiltra archivos, secretos, configuraciones — silenciosamente, con los permisos del revisor

En el contexto de las amenazas con agentes de IA

Este vector se enmarca en una escalada documentada durante varios meses: los agentes de IA de codificación y revisión se están convirtiendo en vectores de exfiltración y escalada de privilegios. A diferencia de ataques anteriores en los que el agente actuaba de forma autónoma (OpenAI/Hugging Face, Claude/CTF), aquí es la herramienta del ecosistema en sí (el servidor MCP oficial de Microsoft) la que carece de protección.

La superficie de ataque se amplía: cualquier servidor MCP que devuelva contenido de usuario no saneado es potencialmente un vector de inyección.

Qué hacer

1. Actualizar el servidor Azure DevOps MCP a la versión parcheada por Microsoft
2. No ejecutar agentes de IA en PR externas hasta confirmar la aplicación del parche
3. Reducir los permisos de los tokens de los agentes: un agente de IA de revisión solo debería acceder al proyecto actual
4. Auditar todos los servidores MCP en uso en el equipo — verificar cuáles devuelven contenido de usuario sin filtrar

Acción inmediata: verificar la versión de su servidor Azure DevOps MCP y aplicar el parche de Microsoft. Restringir los ámbitos de los tokens utilizados por los agentes de IA de revisión.