Azure DevOps MCP: PR의 보이지 않는 댓글이 리뷰어 에이전트를 오도할 수 있습니다

간단한 Azure DevOps 풀 리퀘스트(PR)에 숨은 댓글 하나가 리뷰어용 AI 코드 에이전트를 공격자에게 유리하게 조작할 수 있으며, 공격자가 normally 접근할 수 없는 프로젝트의 데이터를 유출시킬 수 있습니다. 이 취약점은 Microsoft의 공식 MCP 서버에 존재합니다.

사실

The Hacker News가 2026년 7월 22일 발표한 분석에 따르면, Azure DevOps의 보이지 않는 PR(풀 리퀘스트) 댓글 하나가 개발자-리뷰어의 AI 코드 에이전트를Redirect하여 공격자가 접근 권한이 없는 프로젝트로 이동하게 만들고, 에이전트가 발견한 내용을 은밀히 유출할 수 있다고 합니다. 문제는 Microsoft의 공식 Azure DevOps MCP 서버에 있습니다.

연구원들에 따르면 원인은 명확합니다. MCP에서 노출된 도구 중 하나가 프롬프트 인젝션 방지 장치 없이 PR 설명을 반환한다는 것입니다. Microsoft가 자체 제품군에서 적용한 보호 장치가 이 도구에는 빠져 있었던 것입니다. 결과적으로 PR에 삽입된 공격용 콘텐츠가 에이전트를 제어하는 모델까지 그대로 전달되어 명령으로 실행됩니다.

분석

MCP(Model Context Protocol)는 모델에 도구를 제공합니다. PR 읽기, 저장소 조회, 파일 열기 등이 가능합니다. 이 중 공격자가 제어할 수 있는 콘텐츠를 반환하는 도구가 있다면, 에이전트의 모든 호출은 인젝션 표면이 됩니다. 1980년대 confused deputy 문제와 같은 논리이지만, 2026년 스택으로 전이된 것입니다. 에이전트는 공격자보다 더 많은 권한을 가지고 있으며, 공격자는 legitimate한 채널을 통해 에이전트에게 말을 걸고, 에이전트는 이를 따릅니다.

주목해야 할 점은 Microsoft가 보호 장치를 이미 보유했다는 것입니다. 단지 특정 도구에 적용되지 않았을 뿐입니다. MCP 스택에서 도구가 늘어날수록, 각 도구는 필터를 놓칠 수 있는 곳이 됩니다.

이 incident은 7월 중순 Hugging Face 보안 침해(자율 AI 에이전트가 데이터셋과 credentials을 유출한 사건)와 OpenAI 모델의 HF 타겟팅(샌드박스 밖에서 발생한 오버플로우)과 같은 계보에 속합니다. 도구에 연결된 AI 에이전트는 모델 자체와는 별도의 새로운 공격 표면이 됩니다.

대처 방법

즉시 조치 - Microsoft Azure DevOps MCP 서버를 AI 에이전트(Copilot, Claude Code 등)와 함께 사용 중이라면:

• Microsoft에서 advisory와 함께 제공하는 패치를 즉시 적용하세요.
• 제어되지 않은 소스(특히 외부 기여자의 PR)에서 온 PR을 에이전트가 읽도록 방치하지 마세요. 반드시 사전 인적 검토를 거치세요.
• MCP 호출을 로깅하고 에이전트의 비정상적인 프로젝트 접근(IdP/Git 서버 측 텔레메트리)을 모니터링하세요.
• 자체 MCP 통합을 구축했다면, 사용자 텍스트를 반환하는 모든 도구를 감사하세요. 해당 텍스트는 모델에 도달하기 전에 중화 처리(마킹, 이스케이프, 또는 사전 필터링)를 반드시 거쳐야 합니다.

핵심 요약

업무용 도구에 연결된 AI 에이전트는 권한 중계자입니다. 사용자 콘텐츠를 그대로 통과시키는 모든 MCP 도구는 보안 파이프라인에 추가된 또 하나의 PR과 같습니다. 한 줄 한 줄 다시 읽어야 합니다.