Azure DevOps MCP : prompt injection indirecte, l'agent IA de review comme vecteur d'exfiltration

Le serveur MCP officiel Microsoft pour Azure DevOps ne sanitise pas les descriptions de pull requests avant de les passer à un LLM. Résultat : une instruction cachée dans un commentaire de PR peut rediriger l'agent IA de review vers des projets que l'attaquant ne contrôle pas, et exfiltrer silencieusement leur contenu.

Ce qu'il se passe

Nouveau front dans la sécurité des agents IA : la prompt injection indirecte via MCP vient d'être documentée dans un outil officiel Microsoft. Une faille dans le serveur MCP (Model Context Protocol) d'Azure DevOps permet à un attaquant d'insérer une instruction cachée dans un commentaire de pull request. Quand l'agent IA de review d'un développeur lit cette PR, il interprète l'instruction comme légitime et pivote vers des projets auxquels l'attaquant n'a aucun accès.

Le mécanisme

Le MCP (Model Context Protocol) standardise la façon dont les agents LLM interrogent des outils externes. Le serveur Azure DevOps MCP expose notamment un outil qui retourne le contenu des pull requests. La faille : cet outil transmet le texte des commentaires et descriptions sans filtrer les injections de prompt, alors que d'autres outils du même serveur disposent pourtant d'une telle guardrail.

Déroulé concret :

1. L'attaquant insère une instruction dans un commentaire de PR (invisible visuellement)
2. L'agent IA du reviewer lit la PR → ingère l'instruction cachée
3. L'agent "obéit" et accède à d'autres projets Azure DevOps du reviewer
4. Il exfiltre fichiers, secrets, configs - silencieusement, avec les droits du reviewer

Dans le contexte des agents-ia-menace

Ce vecteur s'inscrit dans une escalade documentée depuis plusieurs mois : les agents IA de coding et de review deviennent des vecteurs d'exfiltration et d'escalade de privilèges. Contrairement aux attaques précédentes où l'agent agissait de façon autonome (OpenAI/Hugging Face, Claude/CTF), ici c'est l'outil de l'écosystème lui-même (le serveur MCP officiel Microsoft) qui manque de protection.

La surface d'attaque s'élargit : tout MCP server qui retourne du contenu utilisateur non sanitisé est potentiellement un vecteur d'injection.

Que faire

1. Mettre à jour le serveur Azure DevOps MCP vers la version patchée par Microsoft
2. Ne pas lancer d'agents IA sur des PR externes avant confirmation du patch
3. Réduire les permissions des tokens agents : un agent IA de review ne devrait accéder qu'au projet courant
4. Auditer tous les serveurs MCP en usage dans l'équipe - vérifier lesquels retournent du contenu utilisateur non filtré

À faire maintenant : vérifier la version de votre Azure DevOps MCP server et appliquer le patch Microsoft. Restreindre les scopes des tokens utilisés par les agents IA de review.