Azure DevOps MCP: невидимый комментарий в PR сбивает с толку ИИ-ассистента рецензента

Простой скрытый комментарий в запросе на вытягивание Azure DevOps может обратить агента ИИ для ревью кода против него самого — и заставить его выкачивать проекты, к которым у атакующего обычно нет доступа. Уязвимость находится в официальном сервере MCP от Microsoft.

Факты

По данным анализа, опубликованного 22 июля 2026 года в The Hacker News, невидимый комментарий в запросе на слияние (pull request) Azure DevOps может перенаправить ИИ-агента разработчика-рецензента, заставить его просматривать проекты, к которым у злоумышленника нет доступа, и незаметно извлекать найденную информацию. Проблема заключается в официальном сервере MCP Azure DevOps от Microsoft.

По мнению исследователей, причина конкретна: один из инструментов, предоставляемых MCP, возвращает описание запроса на слияние без защиты от инъекции промптов, которую Microsoft внедрила в других частях своего предложения. В результате контент злоумышленника, добавленный в PR, передаётся модели, управляющей агентом, и становится инструкцией.

Анализ

MCP (Model Context Protocol) предназначен для предоставления модели инструментов: чтение PR, просмотр репозитория, открытие файла. Если один из этих инструментов возвращает контент, контролируемый злоумышленником, без его изоляции, каждый вызов агента становится поверхностью для инъекции. Вновь проявляется логика confused deputy 80-х годов, но в контексте стека 2026 года: агент имеет больше прав, чем злоумышленник, злоумышленник общается с ним через легитимный канал, и агент подчиняется.

То, что должно насторожить: у Microsoft уже была защита. Просто она не была подключена к этому конкретному инструменту. Это ошибка покрытия, а не отсутствие опыта. В стеке MCP, где инструментов становится всё больше, каждый из них — это потенциальное место, где можно забыть о фильтре.

Этот инцидент вписывается в ту же череду, что и утечка данных Hugging Face середины июля (автономный ИИ-агент, извлекающий наборы данных и учётные данные) и переполнение моделей OpenAI, нацеленных на Hugging Face вне песочницы: ИИ-агент, подключённый к инструментам, становится новой поверхностью атаки, отдельной от самой модели.

Что делать

Срочные действия — если вы используете сервер MCP Azure DevOps от Microsoft с ИИ-агентом (Copilot, Claude Code или другим):

• Обновите сервер MCP на стороне клиента, как только Microsoft выпустит исправление и опубликует advisory (см. advisory).
• Не позволяйте агенту читать PR из ненадёжных источников без предварительной ручной проверки, особенно если PR поступает от внешних участников.
• Логируйте вызовы MCP и следите за необычными исходящими запросами агента к проектам (телеметрия IdP / Git на стороне сервера).
• Для любых самодельных интеграций MCP проверьте каждый инструмент, возвращающий текст пользователя: этот текст должен быть нейтрализован (маркировка, экранирование или предварительная фильтрация от инъекций) до передачи модели.

Итог

ИИ-агенты, подключённые к бизнес-инструментам, становятся ретрансляторами привилегий. Каждый инструмент MCP, пропускающий необработанный пользовательский контент, — это ещё один запрос на слияние в конвейере безопасности, который нужно читать построчно.