Azure DevOps MCP：间接提示注入，作为泄露向量的AI审查代理

MCP 官方 Microsoft 服务器用于 Azure DevOps 的服务在将拉取请求描述传递给 LLM 之前未对其进行清理。结果：PR 评论中的隐藏指令可能会将 AI 审查代理重定向至攻击者无法控制的项目，并静默窃取其内容。

当前情况

人工智能代理安全的新战线：通过 MCP 进行的间接提示词注入刚被微软官方工具记录在案。Azure DevOps 中 MCP（Model Context Protocol）服务器的一个漏洞允许攻击者在拉取请求（PR）的评论中插入隐藏指令。当开发者的 AI 代理审查此 PR 时，会将该指令视为合法并转向攻击者无权访问的项目。

机制原理

MCP（Model Context Protocol）标准化了 LLM 代理如何查询外部工具的方式。Azure DevOps MCP 服务器尤其暴露了一个工具，用于返回拉取请求的内容。漏洞在于：该工具传输评论和描述文本时未过滤提示词注入，而同一服务器上的其他工具却配备了此类防护栏。

具体攻击流程：

1. 攻击者在 PR 评论中插入指令（肉眼不可见）
2. 审查者的 AI 代理读取 PR → 吸收隐藏指令
3. 代理“服从”并访问审查者的其他 Azure DevOps 项目
4. 它静默窃取文件、密钥、配置——以审查者的权限进行

在 AI 威胁代理的背景下

该向量是数月来记录的一系列升级的一部分：编码和审查 AI 代理已成为数据泄露与权限提升的载体。与以往攻击不同（代理独立行动：OpenAI/Hugging Face、Claude/CTF），此次攻击向量正是生态系统本身的工具（微软官方 MCP 服务器）缺乏保护。

攻击面扩大：任何返回未经清理的用户内容的 MCP 服务器都可能成为注入向量。

应对措施

1. 将 Azure DevOps MCP 服务器更新至微软已修补的版本
2. 在确认补丁前，切勿在外部 PR 上启动 AI 代理
3. 限制代理 token 的权限：代码审查 AI 代理应仅访问当前项目
4. 审计团队中所有 MCP 服务器——检查哪些返回未过滤的用户内容

立即行动：检查 Azure DevOps MCP 服务器版本并应用微软补丁。限制 AI 代理审查 token 的作用域。