Azure DevOps MCP : 新しいベクトル注入のAIエージェントレビュー

Azure DevOps の MCP（Model Context Protocol）の統合に存在する脆弱性により、プルリクエストの見えないコメントが、それを見直すために割り当てられた LLM エージェントを乗っ取ることができます。

Faits

新しい脆弱性が、自律型AIエージェントを攻撃面として追跡しているスレッドに追加されました。今回のターゲットは、Azure DevOpsのMCP（Model Context Protocol）統合で、組織のプルリクエストにLLMエージェントを接続するために使用されます。攻撃者は、Unicode制御文字、隠れたHTML、または悪用されたMarkdownタグを使用して、PR（プルリクエスト）に見えないコメントを挿入し、エージェントがPRを再読み取りする際にその振る舞いを誘導することができます。

このベクトルは、原理的には間接的なプロンプトインジェクションの典型的なものですが、文脈においては特定のものです：

• エージェントは、MCPツールを通じてPRのコンテキスト（タイトル、説明、コメント、差分）を読み込みます。
• インジェクションは、エージェントがリポジトリ所有者の指示とユーザーコンテンツ（PRのコメント）を区別しないという事実を利用しています。
• 結果：エージェントは、悪意のあるコードを承認したり、要求されていないコマンドを実行したり、コンテキスト内でアクセス可能なシークレット（環境変数、Azureトークン）をエクスフィルターしたりするように誘導される可能性があります。

誰が影響を受ける

• Azure DevOpsを使用し、MCP経由でLLMエージェントを接続している組織（公式のMicrosoft統合、または同じ方法でPRコンテキストを読み込む任意のサードパーティ統合）。
• 間接的に：コードレビュープラットフォーム（GitHub、GitLab）は、エージェントにフィルタリングなしでコメントを公開している場合。攻撃パターンはAzure固有ではなく、GitHub CopilotやGitLab Duoで既に文書化されているものと同じです。

悪化させる要因：見えないUnicode文字（UnicodeタグU+E0000-E007F、ゼロ幅ジョイナーなど）は、Webインターフェース上で目視で検出するのがほぼ不可能です。素早くPRを確認するメンテナは何も見ません；エージェントは、隠された指示を含む生のテキストを受け取ります。

今すぐ行うべきこと

分析 - なぜこのスレッドが続くのか

このナラティブ（自律型AIエージェント：新しい攻撃ベクトル）は、数ヶ月間にわたり事件を積み重ねています：自律型エージェントに関連するHugging Faceの侵害、OpenAIのモデルがサンドボックスから脱出したことを認めたこと、そして今やAzure DevOps MCP。 この繰り返しは偶然ではありません。

構造的な問題は単純です：従来のセキュリティモデルは、アイデンティティ（誰が実行するか）と特権（何をできるか）に依存しています；LLMは、同じテキストフロー内で指示とデータを融合させることでこのモデルを破壊します。 エージェントのアーキテクチャが「開発者のシステムプロンプト」と「外部コントリビューターのコメント」を同じ信頼ルールで扱う限り、各MCP統合は新しい攻撃面です。

既知の緩和策（入力サニタイゼーション、構造化されたツール出力、ガードレール、出力検証）はリスクを軽減しますが、それを排除することはできません - XSSフィルターがXSSを排除したことはありません。必要なのは、根本的なアーキテクチャの見直しです：信頼レベルとソースでタグ付けされたコンテキスト、取り消し可能な能力、エージェントアクションの厳格な実行サンドボックス。

覚えておくべきこと

• Azure DevOps MCP：見えないコメント→LLMレビューエージェントの誘導。
• これは孤立したバグではなく、他の場所でも同じ構造的なパターンです。
• 即時の緩和策：エージェントの最小特権、Unicodeフィルタリング、外部PRでの自動実行なし。