Azure DevOps MCP: 간접 프롬프트 주입, 검토 에이전트를 통한 데이터 유출 벡터

MCP 공식 Microsoft 서버 for Azure DevOps는 pull request 설명을 LLM에 전달하기 전에 sanitize하지 않습니다. 결과적으로 PR 댓글에 숨겨진 지시문이 AI 리뷰 에이전트를 공격자가 제어하지 않는 프로젝트로 리디렉션하고, 해당 프로젝트의 내용을 은밀히 유출할 수 있습니다.

발생 현황

새로운 AI 에이전트 보안 전선: MCP를 통한 간접 프롬프트 인젝션이 공식 Microsoft 도구에서 문서화되었습니다. Azure DevOps의 MCP(Model Context Protocol) 서버 취약점으로 인해 공격자가 풀 리퀘스트(PR) 댓글에 숨은 명령을 삽입할 수 있습니다. 개발자의 AI 리뷰 에이전트가 이 PR을 읽으면 명령을 legitimate한 것으로 간주하고 공격자가 접근 권한이 없는 프로젝트로 pivoting합니다.

메커니즘

MCP(Model Context Protocol)는 에이전트가 외부 도구를 쿼리하는 방식을 표준화합니다. Azure DevOps MCP 서버는 PR 내용을 반환하는 도구를 노출합니다. 취약점: 이 도구는 프롬프트 인젝션을 필터링하지 않고 댓글과 설명 텍스트를 전달하며, 동일한 서버의 다른 도구는 guardrail을 보유하고 있습니다.

실제 공격 과정:

1. 공격자가 PR 댓글에 명령을 삽입(시각적으로 보이지 않음)
2. 리뷰어의 AI 에이전트가 PR을 읽음 → 숨은 명령을 흡수
3. 에이전트가 "복종"하고 리뷰어의 다른 Azure DevOps 프로젝트에 접근
4. 파일, 시크릿, 설정 등을 권한을 가진 리뷰어의 권한으로 은밀히 탈취

AI 위협 에이전트 맥락에서

이 벡터는 몇 달 전부터 문서화된 escalation에 속합니다: 코딩 및 리뷰 AI 에이전트가 탈취 및 권한 상승의 매개체가 되고 있습니다. 이전 공격(OpenAI/Hugging Face, Claude/CTF)에서는 에이전트가 독립적으로 행동했지만, 여기서는 에이전트의 에코시스템 도구 자체(공식 Microsoft MCP 서버)가 보호 기능이 없습니다.

공격 표면이 확대됩니다: 사용자 콘텐츠를 sanitize하지 않고 반환하는 모든 MCP 서버가 잠재적 인젝션 벡터가 될 수 있습니다.

대응 방법

1. Azure DevOps MCP 서버를 Microsoft 패치 버전으로 업데이트
2. 패치가 적용되기 전까지 외부 PR에 AI 에이전트 실행하지 않기
3. 에이전트 토큰 권한 축소: 리뷰 AI 에이전트는 현재 프로젝트에만 접근해야 함
4. 팀 내 모든 MCP 서버 감사: 사용자 콘텐츠를 필터링하지 않는 서버 확인

지금 바로 해야 할 일: Azure DevOps MCP 서버 버전을 확인하고 Microsoft 패치를 적용하세요. 리뷰 AI 에이전트에서 사용하는 토큰 범위를 제한하세요.