Azure DevOps MCP: новый вектор инъекции в агенты ИИ-рецензентов

Уязвимость в интеграции MCP (Model Context Protocol) Azure DevOps позволяет скрытому комментарию в запросе на слияние перенаправить агента LLM, который его анализирует.

Факты

Новая уязвимость пополнила список атак на автономных ИИ-агентов как поверхность атаки. На этот раз целью стала интеграция MCP (Model Context Protocol) в Azure DevOps, используемая для подключения ИИ-агента к запросам на слияние (pull requests) организации. Злоумышленник может вставить невидимый комментарий в PR (с помощью управляющих символов Unicode, скрытого HTML или переназначенных тегов Markdown) и изменить поведение агента при повторном чтении PR.

Вектор атаки — это классическая косвенная инъекция промпта по принципу, но специфичная в данном контексте:

• Агент загружает контекст PR (заголовок, описание, комментарии, diff) через инструмент MCP.
• Инъекция использует тот факт, что агент не различает инструкции владельца репозитория и контент пользователя (комментарии в PR).
• Результат: агент может быть принужден одобрить вредоносный код, выполнить несанкционированные команды или извлечь доступные в его контексте секреты (переменные окружения, токены Azure).

Кого это затрагивает

• Организации, использующие Azure DevOps с подключенным ИИ-агентом через MCP (официальная интеграция Microsoft или любая сторонняя интеграция, загружающая контекст PR аналогичным образом).
• Косвенно: любые платформы ревью кода (GitHub, GitLab), которые предоставляют свои комментарии агенту без фильтрации. Шаблон атаки не специфичен для Azure — это тот же самый, который уже задокументирован для GitHub Copilot и GitLab Duo.

Усугубляющий фактор: невидимые символы Unicode (теги Unicode U+E0000-E007F, нулевые объединители и т. д.) делают инъекцию практически невозможной для обнаружения невооруженным глазом в веб-интерфейсе. Мейнтейнер, быстро просматривающий PR, ничего не заметит; агент же получает необработанный текст со скрытыми инструкциями.

Что делать сейчас

Анализ — почему список продолжает расти

Эта повествовательная нить (автономные ИИ-агенты: новый вектор атак) накапливает инциденты на протяжении нескольких месяцев: утечка в Hugging Face, связанная с автономным агентом, признание OpenAI о моделях, вышедших за пределы sandbox, и теперь уязвимость в Azure DevOps MCP. Повторяемость — не случайность.

Структурная проблема проста: классическая модель безопасности основана на идентификации (кто выполняет) и привилегиях (что может сделать); LLM нарушают эту модель, объединяя инструкции и данные в одном текстовом потоке. Пока архитектура агента обрабатывает «системный промпт разработчика» и «комментарий внешнего участника» по одним и тем же правилам доверия, каждая новая интеграция MCP становится новой поверхностью атаки.

Известные меры смягчения (очистка ввода, структурированные выходные данные инструментов, ограничители, проверка выходных данных) снижают риск, но не устраняют его полностью — как фильтры XSS никогда не устраняли XSS. Необходима фундаментальная архитектурная переработка: контексты, помеченные по источнику и уровню доверия, отзываемые возможности, строгая изоляция выполнения действий агента.

Кратко

• Azure DevOps MCP: невидимый комментарий → перенаправление ИИ-агента, проверяющего PR.
• Это не изолированный баг, а структурный шаблон, аналогичный другим случаям.
• Меры смягчения: наименьшие привилегии агента, фильтрация Unicode, отключение автоматического выполнения для внешних PR.