Вразливість Azure DevOps: приховані коментарі маніпулюють ШІ

Приховані коментарі можуть перехопити контроль над ШІ-агентами

Фірма Manifold Security виявила вразливість у сервері Microsoft Azure DevOps MCP, яка дозволяє прихованим коментарям у запитах на злиття (pull requests, PR) маніпулювати ШІ-агентами. Ця проблема може призвести до витоку даних з проектів, до яких зловмисник не має прямого доступу.

Суть проблеми полягає в тому, що невидимий коментар у PR може змусити ШІ-агента рецензента діяти всупереч його початковій меті. Оскільки агент працює з дозволами рецензента, він може отримати доступ до вихідного коду, секретів та робочих елементів у різних проектах.

Механізм атаки

Вразливість використовує розбіжність між тим, що бачить людина, і тим, що отримує ШІ-модель. Описи PR в Azure DevOps підтримують Markdown, що дозволяє використовувати HTML-коментарі (). У веб-інтерфейсі такий коментар не відображається, тому рецензент бачить звичайну зміну. Однак REST API повертає його дослівно, і сервер передає цей текст безпосередньо агенту. Таким чином, зловмисник може вбудувати інструкції в контент, який, як він знає, пізніше прочитає агент. Коли рецензент просить свого агента переглянути PR, прихований текст може переписати мету агента.

Manifold Security відтворила атаку, де прихований коментар у PR ініціював запуск конвеєра в іншому проекті, прочитав конфіденційну вікі-сторінку, до якої зловмисник не мав доступу, і опублікував її як коментар до PR, де зловмисник міг її прочитати. Ця послідовність була відтворена як з Copilot CLI, так і з Claude Code.

Причина та умови вразливості

Проблема виникла через відсутність захисного механізму "spotlighting" (виділення) в інструменті repo_get_pull_request_by_id, який повертає описи запитів на злиття. Цей механізм, який Microsoft рекомендує для захисту від непрямих ін'єкцій підказок, вже застосовується до інших інструментів, таких як ті, що працюють з вікі-сторінками та журналами збірки. Без цього захисту опис PR передається агенту в необробленому вигляді.

Для успішної атаки потрібні такі передумови:

Текст PR, написаний зловмисником.
Робочий процес, який передає цей текст агенту.
Рецензент, чий доступ перевищує доступ зловмисника.
Агент, якому дозволено запускати інструменти без додаткового запиту (наприклад, з автоматичним схваленням).

Реакція Microsoft та рекомендації

Microsoft подякувала Manifold за повідомлення про вразливість і назвала її "відомим класом ризиків ШІ". Компанія зазначила, що атака вимагає, щоб зловмисник вже мав доступ на запис до проекту, а другий користувач викликав ШІ-інструмент для роботи з контентом. Microsoft рекомендує клієнтам обмежувати доступ до проектів та "переглядати запропоновані зміни, перш ніж просити ШІ-інструмент діяти на їх основі". Однак, як зазначає Manifold, проблема полягає в тому, що корисне навантаження невидиме в інтерфейсі, який переглядає людина.

Станом на 21 липня виправлення не було випущено, і CVE не було призначено. Manifold тестувала лише локальний сервер на основі PAT, але вважає, що віддалений хостинговий сервер MCP також може бути вразливим.

Manifold Security пропонує такі заходи захисту:

Надавати агентам токени з мінімальними привілеями та обмежувати їхню область дії лише проектом, що переглядається.
Завантажувати лише ті домени MCP, які необхідні для виконання завдання.
Виключати запуск конвеєрів, читання вікі та публікацію коментарів з набору інструментів для перегляду коду, якщо вони не потрібні.
Перевіряти трасування інструментів агента на наявність міжпроектних запусків конвеєрів, читання вікі або коментарів, опублікованих під час перегляду, а також сканувати відкриті описи PR на наявність прихованих HTML-коментарів.

Що це означає для розробників

Розробникам, які використовують Microsoft Azure DevOps та ШІ-агентів для перегляду коду, слід бути обережними. Ця вразливість означає, що приховані HTML-коментарі в описах запитів на злиття можуть бути використані для ін'єкції підказок, змушуючи ШІ-агента виконувати небажані дії з дозволами рецензента. Важливо впроваджувати принципи найменших привілеїв для ШІ-агентів, обмежувати їхній доступ та перевіряти PR на наявність прихованих елементів, оскільки візуальний інтерфейс не показує потенційно шкідливий контент.

Ключові факти

Виявлено вразливість у сервері Microsoft Azure DevOps MCP.
Дозволяє прихованим HTML-коментарям у запитах на злиття (PR) маніпулювати ШІ-агентами.
ШІ-агент діє з дозволами рецензента, потенційно викрадаючи дані з недоступних зловмиснику проектів.
Причина: відсутність захисного механізму "spotlighting" в інструменті repo_get_pull_request_by_id.
Manifold Security продемонструвала витік конфіденційної вікі-сторінки.