Uma falha no servidor MCP oficial do Microsoft Azure DevOps permite que comentários invisíveis em pull requests manipulem agentes de inteligência artificial usados na revisão de código. O ataque pode levar ao acesso e vazamento de informações de projetos fora do alcance do invasor.
A técnica explora uma injeção indireta de prompt inserida em comentários HTML na descrição do pull request. O conteúdo não aparece na interface do Azure DevOps, mas é retornado pela API e entregue integralmente ao modelo de IA.
Quando o revisor solicita a análise do código, o agente pode interpretar o texto oculto como uma instrução legítima. Como opera com as credenciais da vítima, ele consegue executar ações permitidas ao revisor, mesmo em projetos aos quais o autor malicioso não possui acesso.
Em uma prova de conceito, o agente iniciou um pipeline em outro projeto, leu uma página confidencial de uma wiki e publicou o conteúdo como comentário no pull request controlado pelo atacante. O comportamento foi reproduzido com Copilot CLI e Claude Code.
A Microsoft já havia implementado essa proteção em ferramentas que processam páginas de wiki e registros de pipelines, mas o mesmo tratamento não foi aplicado às descrições de pull requests. A falha foi comunicada ao centro de resposta de segurança da empresa.
Até 21 de julho de 2026, não havia correção pública nem CVE atribuído, e nenhum ataque real havia sido confirmado. Organizações devem limitar tokens por projeto, reduzir as ferramentas disponíveis aos agentes e procurar comentários HTML ocultos, leituras de wikis e execuções entre projetos.
