Azure DevOps MCP : 間接的なプロンプトインジェクション、レビュー用AIエージェントを介したデータ窃取のベクトル

MCP公式MicrosoftのAzure DevOps用サーバーは、プルリクエストの説明をLLMに渡す前にサニタイズしていません。その結果、PRのコメントに隠された命令がレビュー用AIエージェントを攻撃者が制御しないプロジェクトにリダイレクトし、その内容を密かに流出させる可能性があります。

発生していること

新たなセキュリティフロントライン：Microsoft公式ツールでMCP経由の間接的プロンプトインジェクションが文書化されました。Azure DevOpsのMCP（Model Context Protocol）サーバーにおける脆弱性により、攻撃者がプルリクエストのコメントに隠れた命令を挿入できます。開発者のレビューAIエージェントがこのPRを読み込むと、命令を正当なものと解釈し、攻撃者がアクセスできないプロジェクトにエージェントが移動します。

メカニズム

MCP（Model Context Protocol）は、LLMエージェントが外部ツールに問い合わせる方法を標準化します。Azure DevOps MCPサーバーは特に、プルリクエストの内容を返すツールを公開しています。脆弱性：このツールはコメントや説明文のテキストをプロンプトインジェクションをフィルタリングせずに伝達しますが、同じサーバーの他のツールにはそのようなガードレールが備わっています。

具体的な流れ：

1. 攻撃者がPRコメントに命令を挿入（視覚的には見えない）
2. レビュアーのAIエージェントがPRを読み込み→隠れた命令を取り込む
3. エージェントが「従い」、レビュアーのAzure DevOps内の他のプロジェクトにアクセス
4. ファイル、シークレット、設定を権限を持つレビュアーのアカウントで静かに流出

AI脅威エージェントの文脈で

このベクターは数か月前から文書化されているエスカレーションの一環です：コーディング・レビューAIエージェントが流出や権限昇格のベクターになっています。以前の攻撃（OpenAI/Hugging Face、Claude/CTF）ではエージェントが自律的に動作していましたが、今回はエコシステム自体のツール（Microsoft公式MCPサーバー）に保護機能が欠けています。

攻撃対象領域が拡大：ユーザー入力をサニタイズせずに返すMCPサーバーはすべて、プロンプトインジェクションの潜在的なベクターとなり得ます。

対策

1. Azure DevOps MCPサーバーをMicrosoftのパッチが適用されたバージョンに更新
2. パッチ確認前は外部PRでAIエージェントを起動しない
3. エージェントのトークン権限を最小化：レビューAIエージェントは現在のプロジェクトにのみアクセスすべき
4. チームで使用中のすべてのMCPサーバーを監査 - ユーザー入力をフィルタリングしていないサーバーを特定

今すぐ実施すべきこと：Azure DevOps MCPサーバーのバージョンを確認し、Microsoftのパッチを適用。レビューAIエージェントで使用するトークンのスコープを制限。