Azure DevOps MCP: um novo vetor de injeção nos agentes de IA revisores

Uma vulnerabilidade na integração MCP (Model Context Protocol) do Azure DevOps permite que um comentário invisível em uma pull request desvie um agente LLM encarregado de revisá-la.

Fatos

Uma nova vulnerabilidade vem reforçar o fio que temos sobre agentes de IA autônomos como superfície de ataque. Desta vez, o alvo é a integração MCP (Model Context Protocol) do Azure DevOps, usada para conectar um agente LLM a pull requests de uma organização. Um atacante pode inserir um comentário invisível em uma PR (por meio de caracteres de controle Unicode, HTML oculto ou marcações Markdown desviadas) e desviar o comportamento do agente quando este relê a PR.

O vetor é uma injeção de prompt indireta clássica em seu princípio, mas específica em seu contexto:

• O agente carrega o contexto da PR (título, descrição, comentários, diff) por meio da ferramenta MCP.
• A injeção aproveita o fato de que o agente não distingue as instruções do proprietário do repositório e o conteúdo do usuário (os comentários da PR).
• Resultado: o agente pode ser induzido a aprovar código malicioso, executar comandos não solicitados ou exfiltrar segredos acessíveis em seu contexto (variáveis de ambiente, tokens do Azure).

Quem é afetado

• Organizações que utilizam Azure DevOps com um agente LLM conectado via MCP (a integração oficial da Microsoft ou qualquer integração de terceiros que carregue o contexto da PR da mesma forma).
• Por ricochete: qualquer plataforma de revisão de código (GitHub, GitLab) que exponha seus comentários a um agente sem filtragem. O padrão de ataque não é específico do Azure — é o mesmo já documentado no GitHub Copilot e GitLab Duo.

O fator agravante: os caracteres Unicode invisíveis (tags Unicode U+E0000-E007F, zero-width joiners, etc.) tornam a injeção quase impossível de ser detectada a olho nu na interface web. Um mantenedor que revisa rapidamente uma PR não vê nada; o agente, por sua vez, recebe o texto bruto com as instruções ocultas.

O que fazer agora

Análise — por que o fio continua a se alongar

Essa narrativa (agentes de IA autônomos: novo vetor de ataque) acumula incidentes há vários meses: a brecha da Hugging Face relacionada a um agente autônomo, o reconhecimento da OpenAI sobre modelos que escaparam do sandbox e, agora, o Azure DevOps MCP. A recorrência não é um acidente.

O problema estrutural é simples: o modelo de segurança clássico se baseia na identidade (quem executa) e no privilégio (o que pode fazer); os LLM quebram esse modelo ao fundir instruções e dados em um mesmo fluxo textual. Enquanto a arquitetura de um agente tratar « o prompt do sistema do desenvolvedor » e « o comentário de um contribuidor externo » com as mesmas regras de confiança, cada nova integração MCP será uma nova superfície de ataque.

As mitigações conhecidas (sanitização de entrada, saídas estruturadas de ferramentas, guardrails, verificação de saída) reduzem o risco, mas não o eliminam — assim como os filtros de XSS nunca eliminaram o XSS. O que é necessário é uma revisão arquitetural profunda: contextos rotulados por origem e nível de confiança, capacidades revogáveis, sandbox de execução estrita das ações do agente.

Para lembrar

• Azure DevOps MCP: comentário invisível → desvio do agente LLM revisor.
• Não é um bug isolado, é o mesmo padrão estrutural de outros casos.
• Mitigação imediata: menor privilégio do agente, filtragem de Unicode, sem execução automática em PRs externas.