Azure DevOps MCP-hull lar skjulte PR-kommentarer kapre KI-agenter

Sikkerhetsselskapet Manifold Security meldte denne uken om en «confused deputy»-svakhet i Microsofts offisielle Azure DevOps MCP-server: en enkelt skjult HTML-kommentar i en pull request kan omdirigere KI-agenten som gjennomgår koden, og få den til å hente kildekode, hemmeligheter og arbeidselementer på tvers av prosjekter med gjennomgåerens egne rettigheter.

Roten er én funksjon uten beskyttelse. Microsoft la inn såkalt «spotlighting» i PR #1062, en teknikk som pakker uklarert innhold inn i skilletegn så modellen skiller data fra instruksjoner. Wiki- og bygglogg-verktøyene sender utdata gjennom hjelperen createExternalContentResponse, men verktøyet repo_get_pull_request_by_id kaller den aldri og returnerer PR-beskrivelsen rått. I web-grensesnittet rendres en HTML-kommentar («») som ingenting, mens REST-API-et gir den ordrett videre til agenten. Det er nettopp spriket mellom hva mennesket ser og hva modellen får, som er leveringsmekanismen.

I Manifolds proof of concept, kjørt mot en lokal v2.7.0, driver den skjulte kommentaren en hel kjede: agenten trigger en pipeline i et annet prosjekt, leser en konfidensiell wiki-side angriperen ikke har tilgang til, og poster siden tilbake som en PR-kommentar der angriperen leser den. Hvert kall var lovlig for agenten. Teamet reproduserte det med både Copilot CLI og Claude Code, så det henger ikke på én bestemt agent.

«Sekvensen og intensjonen, drevet av tekst som et menneske aldri så» — Manifold Security, om hva som gjorde angrepet mulig

Mønsteret er ikke nytt. I mai 2025 viste Invariant Labs samme angrepsklasse mot GitHubs MCP-server. Simon Willison brukte det som eksempel da han døpte «the lethal trifecta»: en agent med tilgang til private data, eksponering for uklarert innhold, og en vei ut for data. Har agenten alle tre, kan én tekstsnutt vende den mot eieren, og de fleste nyttige agenter har alle tre.

Per 21. juli er ingen CVE tildelt og ingen fiks sluppet, bekrefter The Hacker News, som fant stien fortsatt udekket i gjeldende kildekode. Siste utgivelse, v2.8.0, kom 24. juni. En Microsoft-talsperson takket Manifold under koordinert avsløring og kalte det «en kjent klasse av KI-risiko», men sa ikke om koden vil endres eller om en CVE tildeles. Kjeden krever riktignok flere forutsetninger: angriper med skrivetilgang, en arbeidsflyt som mater PR-teksten til en agent, en gjennomgåer med bredere tilgang enn angriperen, og en agent satt til å kjøre verktøy uten å spørre.

Hva bør du gjøre?

1. Gi agenten least-privilege-token og skop den til prosjektet som gjennomgås. En bred PAT kombinert med auto-godkjenning er der risikoen samler seg.
2. Last bare MCP-domenene oppgaven trenger. Den lokale serveren begrenser dem med «-d»-flagget, og pipeline-kjøring, wiki-lesing og kommentar-posting har ingenting å gjøre i et code-review-verktøysett.
3. Sjekk agentens tool-traces for pipeline-kjøringer på tvers av prosjekter, wiki-lesing eller kommentarer den postet under en review, og skann åpne PR-beskrivelser for skjulte HTML-kommentarer.