Skjult PR-kommentar kan kapre KI-agenten i Microsofts Azure DevOps MCP

Sikkerhetsselskapet Manifold Security har avdekket et hull i Microsofts offisielle Azure DevOps MCP-server som lar en usynlig kommentar i en pull request kapre en utviklers KI-agent og gjøre den til et verktøy for datatyveri. Fordi PR-beskrivelser i Azure DevOps støtter Markdown, kan en angriper skjule instruksjoner inne i en HTML-kommentar som ikke vises i nettgrensesnittet, men som API-et returnerer ordrett til agenten.

Når offeret ber agenten om å se over pull requesten, leser agenten den skjulte teksten og følger den som en legitim kommando. Det er klassisk indirekte prompt injection. I forskernes proof of concept ba den injiserte kommentaren agenten godkjenne PR-en, trigge en pipeline i et helt annet «Payments»-prosjekt, lese en fortrolig wiki-side der og legge innholdet tilbake som en kommentar angriperen kunne se, uten å nevne noe til den menneskelige vurdereren.

Poenget er at agenten jobber med offerets egne rettigheter. En vurderer er ofte mer senior enn den som åpnet PR-en og har bredere tilgang, så angriperen låner den tilgangen gjennom tekst vurdereren aldri ser. Manifold kaller det et «confused deputy»-problem, og knytter det til Simon Willisons «lethal trifecta»: tilgang til private data, eksponering for upålitelig innhold og en kanal ut. En agent med alle tre kan vendes mot sin egen eier.

Microsoft hadde allerede en forsvarsmekanisme kalt «spotlighting», som pakker upålitelig innhold inn i skilletegn så modellen kan skille data fra instruksjoner. Den ble innført i PR #1062, men bare på verktøyene som returnerer pipeline- og wiki-innhold, ikke på verktøyet som returnerer PR-beskrivelser. Det etterlot nettopp inngangen angriperne brukte. Manifold rapporterte saken til Microsoft Security Response Center, som bekreftet og triagerte den. Da saken ble publisert var det verken tildelt CVE eller sendt en rettelse.

Hva bør du gjøre?

1. Gi agent-tokens minst mulig privilegier, begrenset til prosjektet som skal vurderes.
2. Last bare inn de MCP-verktøyene oppgaven faktisk trenger, med scoping-flagg der de finnes.
3. Hold pipeline-kjøring, wiki-lesing og kommentar-posting ute av verktøysett som bare skal se over kode.
4. Gjennomsøk PR-beskrivelser for skjulte HTML-kommentarer og se over agentens verktøykall for uventet aktivitet på tvers av prosjekter.