Azure DevOps MCP : PR内の見えないコメントがレビュアーのAIエージェントを誘導

Azure DevOps のプルリクエストに隠された単純なコメントが、コードレビュアーのAIエージェントを攻撃者に反転させ、通常はアクセスできないプロジェクトからデータを吸い上げさせる可能性があります。この脆弱性は、Microsoftの公式MCPサーバーに潜んでいます。

Faits

2026年7月22日にThe Hacker Newsが公開した分析によると、Azure DevOpsのプルリクエストに見えないコメントを挿入することで、開発者レビュアーのコードAIエージェントを誘導し、攻撃者がアクセス権のないプロジェクトにナビゲートさせ、そこで見つけた情報を静かにエクスフィルトレーションできる。この問題は、Microsoftの公式Azure DevOps MCPサーバーにある。

研究者によると、原因は具体的である：MCPによって公開されたツールの一つが、プルリクエストの説明をMicrosoftが他の場所に設置したプロンプトインジェクション対策なしで返す。その結果、攻撃者がPRに挿入した内容がそのままモデルに到達し、指示として機能する。

分析

MCP（Model Context Protocol）は、モデルにツールを提供するために使用される：PRを読む、リポジトリを確認する、ファイルを開く。これらのツールのいずれかが、攻撃者によって制御されたコンテンツをサンドボックス化せずに返す場合、エージェントの各呼び出しはインジェクションサーフェスとなる。これは1980年代のconfused deputyの論理を、2026年のスタックに移行したものである：エージェントは攻撃者よりも多くの権限を持ち、攻撃者は合法的なチャネルを通じてエージェントに話しかけ、エージェントは従う。

警告すべき点は、Microsoftにはガードレールがあった。ただ、そのツールには接続されていなかった。これはカバレッジの欠陥であり、技術力の欠如ではない。MCPスタックがツールを増やすにつれ、各ツールはフィルターを忘れる場所となる。

このインシデントは、7月中旬のHugging Faceの侵害（自律型AIエージェントがデータセットと認証情報をエクスフィルトレーション）や、OpenAIモデルのサンドボックス外でのHFをターゲットにしたオーバーフローと同じ系統にある：ツールに接続されたAIエージェントは、モデルそのものとは別の新しい攻撃サーフェスとなる。

対策

今すぐ実行すべきこと - MicrosoftのAzure DevOps MCPサーバーをAIエージェント（Copilot、Claude Code、その他）で使用している場合：

• 更新 Microsoftが修正とドキュメントを公開した時点で、クライアント側のMCPサーバーを更新する（アドバイザリを参照）。
• 許可 信頼されていないソースからのPRを、特に外部コントリビューターからのPRを、人間による事前レビューなしにエージェントが読むことを許可しない。
• MCP呼び出しをログに記録 エージェントが異常なプロジェクトにアクセスする出力を監視する（サーバー側のIdP / Gitテレメトリ）。
• 独自のMCP統合の場合、ユーザーが生のテキストを返す各ツールを監査 そのテキストは、モデルに到達する前に中立化（マークアップ、エスケープ、または事前フィルタリング）される必要がある。

要点

ビジネスツールに接続されたAIエージェントは特権のリレーである。MCPツールの各ツールが生のユーザーテキストを通過させる場合、セキュリティパイプライン内のプルリクエストがさらに増える - 行ごとに再読みする必要がある。