Azure DevOps MCP：PR 中的隐形评论会误导 AI 审核代理

一个隐藏在Azure DevOps拉取请求中的简单评论，可能会让AI代码审查助手反噬其主——并让其窃取攻击者原本无权访问的项目。该漏洞藏身于微软官方MCP服务器中。

事实

根据 The Hacker News 于 2026 年 7 月 22 日发布的分析，Azure DevOps 中 pull request 内的隐形评论可能会误导开发者-审阅者的 AI 代码助手，诱使其访问攻击者无权限的项目，并悄悄窃取所见内容。问题出在微软的 官方 Azure DevOps MCP 服务器上。

研究人员表示，原因明确：MCP 暴露的其中一个工具会返回 pull request 的描述，却没有在微软其他产品中已实施的防提示注入保护措施。结果，攻击者在 PR 中插入的恶意内容会原样传递给控制代理的模型，并被视为指令。

分析

MCP（模型上下文协议）用于为模型提供工具：读取 PR、查看仓库、打开文件。若其中某个工具返回由攻击者控制的内容而未进行沙盒隔离，则代理的每次调用都会成为注入攻击面。这与 20 世纪 80 年代的“confused deputy”逻辑如出一辙，只是被移植到了 2026 年的技术栈：代理拥有比攻击者更高的权限，攻击者通过合法渠道向其传递信息，而代理则会遵从指令。

值得警惕的一点是：微软本已设有保护措施，只是未应用到这款工具上。这是覆盖缺失，而非技术缺失。在一个拥有多个工具的 MCP 栈中，每个工具都可能成为遗漏过滤器的地方。

此次事件与 7 月中旬的 Hugging Face 数据泄露（自主 AI 代理窃取数据集和凭证）及针对 HF 的 OpenAI 模型溢出（未沙盒化）一脉相承：连接工具的 AI 代理已成为一个全新的攻击面，与模型本身截然不同。

行动建议

立即行动——若您正在使用微软的 Azure DevOps MCP 服务器与 AI 代理（如 Copilot、Claude Code 等）：

• 更新客户端的 MCP 服务器，一旦微软发布并记录修复补丁（见安全公告）。
• 切勿让代理直接读取未经人工审核的 PR，尤其是来自外部贡献者的 PR。
• 记录 MCP 调用日志并监控代理向异常项目的外发访问（IdP/服务器端 Git 遥测）。
• 对于自建的 MCP 集成，审计每个返回用户文本的工具：此类文本必须在抵达模型前进行中和处理（标记、转义或预过滤注入）。

关键要点

连接业务工具的 AI 代理是权限中继。每个允许原始用户内容通过的 MCP 工具，都相当于在安全流程中多了一道未经审查的 pull request——必须逐行检查。