Azure DevOps MCP: injeção indireta de prompt, o agente de revisão de IA como vetor de exfiltração

O servidor MCP oficial da Microsoft para Azure DevOps não sanitiza as descrições de pull requests antes de passá-las para um LLM. Como resultado, uma instrução oculta em um comentário de PR pode redirecionar o agente de revisão de IA para projetos que o atacante não controla e exfiltrar silenciosamente seu conteúdo.

O que está acontecendo

Novo front na segurança de agentes de IA: a injeção indireta de prompt via MCP acaba de ser documentada em uma ferramenta oficial da Microsoft. Uma vulnerabilidade no servidor MCP (Model Context Protocol) do Azure DevOps permite que um invasor insira uma instrução oculta em um comentário de pull request. Quando o agente de IA de revisão de um desenvolvedor lê essa PR, ele interpreta a instrução como legítima e redireciona para projetos aos quais o invasor não tem acesso.

O mecanismo

O MCP (Model Context Protocol) padroniza a forma como os agentes LLM consultam ferramentas externas. O servidor Azure DevOps MCP expõe, entre outras coisas, uma ferramenta que retorna o conteúdo dos pull requests. A falha: essa ferramenta transmite o texto dos comentários e descrições sem filtrar injeções de prompt, enquanto outras ferramentas do mesmo servidor possuem essa proteção.

Sequência concreta:

1. O invasor insere uma instrução em um comentário de PR (invisível visualmente)
2. O agente de IA do revisor lê a PR → ingere a instrução oculta
3. O agente "obedece" e acessa outros projetos do Azure DevOps do revisor
4. Ele exfiltra arquivos, segredos, configurações — silenciosamente, com os direitos do revisor

No contexto das ameaças por agentes de IA

Esse vetor faz parte de uma escalada documentada há vários meses: os agentes de IA de codificação e revisão tornam-se vetores de exfiltração e escalonamento de privilégios. Diferentemente de ataques anteriores em que o agente agia de forma autônoma (OpenAI/Hugging Face, Claude/CTF), aqui é a própria ferramenta do ecossistema (o servidor MCP oficial da Microsoft) que carece de proteção.

A superfície de ataque se amplia: qualquer servidor MCP que retorne conteúdo de usuário não sanitizado é potencialmente um vetor de injeção.

O que fazer

1. Atualizar o servidor Azure DevOps MCP para a versão corrigida pela Microsoft
2. Não executar agentes de IA em PRs externos antes de confirmar o patch
3. Reduzir as permissões dos tokens dos agentes: um agente de IA de revisão deve acessar apenas o projeto atual
4. Auditar todos os servidores MCP em uso na equipe — verificar quais retornam conteúdo de usuário não filtrado

A fazer agora: verificar a versão do seu servidor Azure DevOps MCP e aplicar o patch da Microsoft. Restringir os escopos dos tokens usados pelos agentes de IA de revisão.