Azure DevOps MCP: косвенная инъекция промптов, ИИ-агент ревью как вектор эксфильтрации данных

Сервер MCP официального Microsoft для Azure DevOps не выполняет санацию описаний запросов на вытягивание перед передачей их LLM. В результате скрытая инструкция в комментарии PR может перенаправить ИИ-агента ревью на проекты, которыми атакующий не управляет, и бесшумно извлечь их содержимое.

Что происходит

Новый фронт в безопасности агентов ИИ: косвенная инъекция промптов через MCP была недавно задокументирована в официальном инструменте Microsoft. Уязвимость в сервере MCP (Model Context Protocol) Azure DevOps позволяет злоумышленнику вставить скрытую инструкцию в комментарий pull request. Когда ИИ-агент разработчика, проверяющий PR, считывает его, он воспринимает инструкцию как легитимную и переключается на проекты, к которым у злоумышленника нет доступа.

Механизм атаки

Стандарт MCP (Model Context Protocol) унифицирует способ, которым агенты LLM запрашивают внешние инструменты. Сервер Azure DevOps MCP предоставляет инструмент, который возвращает содержимое pull request. Уязвимость: этот инструмент передает текст комментариев и описаний без фильтрации инъекций промптов, хотя другие инструменты того же сервера имеют такую защиту.

Конкретный сценарий:

1. Злоумышленник вставляет инструкцию в комментарий PR (визуально невидимую)
2. ИИ-агент ревьюера считывает PR → поглощает скрытую инструкцию
3. Агент "подчиняется" и получает доступ к другим проектам Azure DevOps ревьюера
4. Он извлекает файлы, секреты, конфигурации — тихо, с правами ревьюера

В контексте угроз от ИИ-агентов

Этот вектор вписывается в эскалацию угроз, документированную за последние месяцы: ИИ-агенты для кодирования и ревью становятся векторами эксфильтрации данных и эскалации привилегий. В отличие от предыдущих атак, где агент действовал автономно (OpenAI/Hugging Face, Claude/CTF), здесь виноват сам инструмент экосистемы (официальный сервер MCP от Microsoft), который не имеет защиты.

Площадь атаки расширяется: любой MCP-сервер, возвращающий неочищенный пользовательский контент, потенциально является вектором инъекции.

Что делать

1. Обновить сервер Azure DevOps MCP до исправленной версии от Microsoft
2. Не запускать ИИ-агентов на внешних PR до подтверждения установки патча
3. Сократить разрешения токенов агентов: ИИ-агент ревью должен иметь доступ только к текущему проекту
4. Провести аудит всех MCP-серверов в команде — проверить, какие из них возвращают нефильтрованный пользовательский контент

Действовать сейчас: проверить версию вашего сервера Azure DevOps MCP и применить патч от Microsoft. Ограничить области действия токенов, используемых ИИ-агентами ревью.