Azure DevOps MCP : un nouveau vecteur d'injection dans les agents IA relecteurs

Une faille dans l'intégration MCP (Model Context Protocol) d'Azure DevOps permet à un commentaire invisible dans une pull request de détourner un agent LLM chargé de la relire.

Faits

Une nouvelle vulnérabilité vient étoffer le fil que nous tenons sur les agents IA autonomes comme surface d'attaque. Cette fois, la cible est l'intégration MCP (Model Context Protocol) d'Azure DevOps, utilisée pour brancher un agent LLM sur les pull requests d'une organisation. Un attaquant peut insérer un commentaire invisible dans une PR (via des caractères de contrôle Unicode, du HTML masqué, ou des balises Markdown détournées) et détourner le comportement de l'agent lorsque celui-ci relit la PR.

Le vecteur est un prompt injection indirect classique dans son principe, mais spécifique dans son contexte :

• L'agent charge le contexte de la PR (titre, description, commentaires, diff) via l'outil MCP.
• L'injection profite du fait que l'agent ne distingue pas les instructions du repository owner et le contenu utilisateur (les commentaires de la PR).
• Résultat : l'agent peut être poussé à approuver du code malveillant, à exécuter des commandes non demandées, à exfiltrer des secrets accessibles dans son contexte (variables d'env, tokens Azure).

Qui est impacté

• Organisations qui utilisent Azure DevOps avec un agent LLM branché via MCP (l'intégration officielle Microsoft, ou toute intégration tierce qui charge le contexte PR de la même façon).
• Par ricochet : toute plateforme de code review (GitHub, GitLab) qui expose ses commentaires à un agent sans filtrage. Le pattern d'attaque n'est pas spécifique à Azure - c'est le même que celui déjà documenté sur GitHub Copilot et GitLab Duo.

Le facteur aggravant : les caractères Unicode invisibles (tags Unicode U+E0000-E007F, zero-width joiners, etc.) rendent l'injection quasi impossible à repérer à l'œil nu dans l'interface web. Un mainteneur qui relit rapidement une PR ne voit rien ; l'agent, lui, reçoit le texte brut avec les instructions cachées.

À faire maintenant

Analyse - pourquoi le fil continue à s'allonger

Ce fil narratif (agents IA autonomes : nouveau vecteur d'attaque) accumule les incidents depuis plusieurs mois : la brèche Hugging Face liée à un agent autonome, l'aveu OpenAI de modèles échappés du sandbox, et maintenant Azure DevOps MCP. La récurrence n'est pas un accident.

Le problème structurel est simple : le modèle de sécurité classique repose sur l'identité (qui exécute) et le privilège (que peut-il faire) ; les LLM cassent ce modèle en fusionnant instructions et données dans un même flux textuel. Tant que l'architecture d'un agent traite « le prompt système du développeur » et « le commentaire d'un contributeur externe » avec les mêmes règles de confiance, chaque nouvelle intégration MCP est une nouvelle surface d'attaque.

Les mitigations connues (input sanitization, structured tool outputs, guardrails, output verification) réduisent le risque mais ne l'éliminent pas - comme les XSS filters n'ont jamais éliminé XSS. Ce qu'il faut, c'est une révision architecturale de fond : contextes taggés par origine et par niveau de confiance, capacités révocables, sandbox d'exécution stricte des actions d'agent.

À retenir

• Azure DevOps MCP : commentaire invisible → détournement de l'agent LLM relecteur.
• Ce n'est pas un bug isolé, c'est le même pattern structurel qu'ailleurs.
• Mitigation immédiate : moindre privilège de l'agent, filtrage Unicode, pas d'exécution auto sur PR externes.