Azure DevOps MCP bị lỗi prompt-injection qua HTML comment ẩn trong mô tả PR
"Researchers found an indirect prompt-injection flaw in Microsoft Azure DevOps MCP server where hidden HTML comments in pull request descriptions could hijack AI review agents. The issue could let an attacker with PR write access cause an agent running with a reviewer’s permissions to access cross-project resources and leak data such as source code, secrets, or wiki content; no CVE or fixed release was reported at the time, and Microsoft said it was a known AI risk under coordinated disclosure."
Nguy cơ cao do agent có thể bị prompt-injection điều khiển để truy cập cross-project và rò rỉ dữ liệu nhạy cảm. Các điểm then chốt: HTML comment ẩn trong mô tả PR, agent chạy theo quyền reviewer, và thiếu guardrail ở repo_get_pull_request_by_id.
Tác động chủ yếu nằm ở khả năng rò rỉ tài sản thông tin (mã nguồn, wiki, secrets) và làm suy giảm kiểm soát quy trình review. Các điểm then chốt: rò rỉ qua chuỗi pipeline/wiki, tăng rủi ro khi review tự động, và khó phát hiện vì payload không hiển thị cho người duyệt.
Các nhà nghiên cứu phát hiện một lỗi prompt-injection gián tiếp trong máy chủ Azure DevOps MCP chính thức: nội dung mô tả pull request có thể chứa HTML comment ẩn (<!-- ... -->). Trên giao diện web, comment này không hiển thị; nhưng khi truy xuất qua REST API, máy chủ trả về nguyên văn và chuyển thẳng cho AI review agent xử lý.
Theo phân tích của Manifold Security, đây là dạng “confused deputy”: nếu kẻ tấn công có quyền tạo/ghi PR, họ có thể cài đặt chuỗi hướng dẫn mà người đánh giá không nhìn thấy. Khi người đánh giá kích hoạt agent để rà soát, agent chạy với quyền của reviewer và có thể thực thi các thao tác vượt phạm vi mà kẻ tấn công đáng lẽ không truy cập được, bao gồm đọc source code, secrets, và nội dung wiki/work items ở dự án khác.
Điểm đáng chú ý là Microsoft đã áp dụng cơ chế phòng vệ theo hướng “spotlighting” cho một số công cụ, nhưng hàm repo_get_pull_request_by_id không đi qua lớp bảo vệ tương tự. Manifold cho biết chuỗi tấn công có thể tái hiện với Copilot CLI và Claude Code, và chưa có CVE hoặc bản vá công khai tại thời điểm công bố (không thấy thông tin cố định trong cơ sở dữ liệu công khai). Khuyến nghị: áp dụng least privilege cho token, giới hạn phạm vi công cụ/miền MCP, và rà soát nội dung PR trước khi cho agent hành động.