Azure DevOps MCP: AI 리뷰 에이전트에 대한 새로운 주입 벡터

Azure DevOps의 MCP(Model Context Protocol) 통합의 취약점으로 인해 풀 리퀘스트에서 보이지 않는 댓글이 LLM 에이전트를 우회하여 조작할 수 있습니다.

사실

새로운 취약점이 자율 AI 에이전트를 공격 표면으로 삼는 위협의 일환으로 등장했습니다. 이번에는 Azure DevOps의 MCP(모델 컨텍스트 프로토콜) 통합이 타겟이 되었습니다. 이 통합은 에이전트 LLM을 조직의 풀 리퀘스트(PR)에 연결하는 데 사용됩니다. 공격자는 보이지 않는 댓글을 PR에 삽입할 수 있습니다(유니코드 제어 문자, 숨겨진 HTML, 또는 변조된 마크다운 태그를 통해). 그러면 에이전트가 PR을 다시 읽을 때 동작을 탈취당할 수 있습니다.

이 공격 벡터는 원칙적으로는 간접 프롬프트 인젝션의 고전적인 형태이지만, 맥락상으로는 다음과 같은 특징이 있습니다.

• 에이전트는 PR의 컨텍스트(제목, 설명, 댓글, diff)를 MCP 도구를 통해 로드합니다.
• 인젝션은 에이전트가 저장소 소유자의 지시사항과 사용자 콘텐츠(PR 댓글)를 구분하지 못하는 점을 악용합니다.
• 결과: 에이전트는 악성 코드를 승인하거나, 요청되지 않은 명령을 실행하거나, 컨텍스트 내 접근 가능한 비밀(환경 변수, Azure 토큰)을 유출할 수 있습니다.

영향 대상

• Azure DevOps를 사용하며 MCP를 통해 연결된 LLM 에이전트를 보유한 조직(마이크로소프트 공식 통합 또는 동일한 방식으로 PR 컨텍스트를 로드하는 서드파티 통합).
• 파급 효과: 코드 리뷰 플랫폼(GitHub, GitLab) 중 에이전트에 댓글을 노출하는 경우. 이 공격 패턴은 Azure에만 국한되지 않으며, GitHub Copilot 및 GitLab Duo에서도 이미 문서화된 동일한 패턴입니다.

악화 요인: 유니코드 보이지 않는 문자(유니코드 태그 U+E0000-E007F, 제로폭 조인 문자 등)는 웹 인터페이스에서 육안으로 감지하기 거의 불가능하게 만듭니다. PR을 빠르게 검토하는 유지 관리자는 아무것도 보지 못하지만, 에이전트는 숨겨진 지시사항이 포함된 원시 텍스트를 받습니다.

지금 해야 할 일

분석 - 왜 위협이 계속 증가하는가

이 서사적 흐름(자율 AI 에이전트: 새로운 공격 벡터)은 몇 달간 여러 사건을 축적해 왔습니다. 에이전트와 관련된 허깅 페이스 침해, OpenAI의 샌드박스를 벗어난 모델에 대한 고백, 그리고 이제 Azure DevOps MCP까지. 이러한 반복은 우연이 아닙니다.

구조적 문제는 단순합니다. 전통적인 보안 모델은 신원(누가 실행하는가)과 권한(무엇을 할 수 있는가)에 기반합니다. LLM은 지시사항과 데이터를 동일한 텍스트 흐름으로 병합하면서 이 모델을 파괴합니다. 에이전트 아키텍처가 “개발자의 시스템 프롬프트”와 “외부 기여자의 댓글”을 동일한 신뢰 규칙으로 처리하는 한, 모든 새로운 MCP 통합은 새로운 공격 표면이 됩니다.

알려진 완화 조치(입력Sanitization, 구조화된 도구 출력, 가드레일, 출력 검증)는 위험을 줄이지만 완전히 제거하지는 못합니다. XSS 필터가 XSS를 완전히 없애지 못한 것과 같습니다. 필요한 것은 근본적인 아키텍처 재검토입니다. 출처와 신뢰 수준별로 태그된 컨텍스트, 취소 가능한 기능, 에이전트 동작의 엄격한 샌드박스 환경이 필요합니다.

기억해야 할 점

• Azure DevOps MCP: 보이지 않는 댓글 → LLM 검토 에이전트 탈취.
• 이는 고립된 버그가 아니라 다른 곳에서도 동일한 구조적 패턴입니다.
• 즉각적인 완화: 에이전트의 최소 권한, 유니코드 필터링, 외부 PR에 대한 자동 실행 금지.