Un solo comentario invisible en una solicitud de extracción de Azure DevOps puede poner al propio agente de codificación de IA del revisor en su contra, llevándolo a proyectos a los que el atacante no tiene derecho a acceder y filtrando silenciosamente lo que encuentra.

La falla está en el oficial de Microsoft. Servidor Azure DevOps MCPy funciona porque una de sus herramientas devuelve descripciones de solicitudes de extracción sin una barrera de inyección rápida que la empresa ya había aplicado a otras.

Empresa de seguridad ofensiva Seguridad múltiple detalló el error del diputado confundido esta semana. Microsoft envía el servidor para que los agentes de IA puedan leer y operar Azure DevOps para un usuario, a través de solicitudes de extracción, canalizaciones, wikis y elementos de trabajo, todo con los permisos propios del usuario. Ese es el problema: el contenido que escribieron otras personas puede convertirse en instrucciones sobre las que actúa el agente.

Las descripciones de Azure DevOps PR aceptan Markdown, que permite comentarios HTML. En la interfaz de usuario web, un comentario HTML () se muestra como nada, por lo que un revisor que se desplaza por la descripción ve un cambio normal. La API REST lo devuelve palabra por palabra y el servidor entrega ese texto directamente al agente.

Esa división entre lo que ve el humano y lo que recibe el modelo es el mecanismo de entrega: el atacante nunca habla con el agente, sino que coloca instrucciones en un contenido que sabe que leerá más tarde.

Cuando el revisor le pide a su agente que revise el PR, el texto oculto puede reescribir el objetivo del agente. El agente lleva las credenciales del revisor, por lo que puede actuar en proyectos a los que el atacante no tiene derecho a acceder.

Manifold dice que el acceso alcanza el código fuente, los secretos y los elementos de trabajo, no solo la página wiki, su prueba de concepto exfiltrada. La firma considera que la escalada es un caso normal, ya que los revisores suelen ser de mayor rango que quien abrió la solicitud de extracción. El atacante no gana nada directamente; toman prestado el acceso del revisor a través de texto que el revisor nunca ve.

La ruta de la solicitud de extracción pasó por alto la barandilla

Lo que eleva esto por encima de una advertencia genérica de inyección rápida es que Microsoft ya envió una defensa para ello. Al leer la fuente del servidor, Manifold descubrió que utiliza foco, una técnica de La propia guía de Microsoft sobre inyección rápida indirecta: envuelve el contenido que no es de confianza en delimitadores para que el modelo pueda diferenciar los datos de las instrucciones que debe seguir.

La empresa lo añadió en PR #1062donde las herramientas de página wiki y registro de compilación pasan su salida a través de un asistente compartido, createExternalContentResponse. La herramienta que devuelve una solicitud de extracción, repo_get_pull_request_by_id, nunca la llama, por lo que devuelve la descripción sin formato, que es exactamente la superficie en la que escribe un atacante.

The Hacker News confirmó lo mismo camino todavía está descubierto en la fuente actual al 21 de julio.

En la prueba de concepto de Manifold, ejecutada en una compilación local de v2.7.0, un colaborador de un proyecto abre un PR de apariencia normal cuyo comentario oculto lleva la carga útil. Una vez que el agente comienza su revisión, el seguimiento de la herramienta ejecuta una cadena: activa una canalización en un proyecto diferente, lee una página wiki confidencial que el atacante no puede abrir y publica esa página como un comentario en el PR, donde el atacante la lee.

Un único comentario oculto impulsó toda la secuencia, y cada llamada que contenía era una que el agente podía realizar. El problema, escribieron los investigadores, era «la secuencia y la intención, impulsadas por un texto que un humano nunca vio». El equipo lo reprodujo tanto con Copilot CLI como con Claude Code, por lo que no está vinculado a un solo agente.

Sin embargo, la cadena tiene requisitos previos: texto de relaciones públicas escrito por el atacante, un flujo de trabajo que lo envía a un agente, un revisor cuyo acceso excede el del atacante y un agente autorizado para ejecutar herramientas sin preguntar.

Manifold confirmó que probó esa última parte como una postura de aprobación automática sin mensajes por herramienta, el punto de control que de otro modo permitiría a un revisor detectar una ejecución extraña entre proyectos antes de que se active. Un token amplio más esa postura es donde se concentra el riesgo.

La demostración supone que una persona inicia la revisión, pero Manifold señala hacia dónde se dirigen los equipos: revisión automatizada, clasificación y resúmenes generados por activadores, sin que ningún ser humano indique cada ejecución o lea cada resultado. En esa configuración, la descripción colocada se activa por sí sola y la fuga dura más tiempo antes de que alguien se dé cuenta.

El patrón no es nuevo. En mayo de 2025, Invariant Labs mostró el mismo tipo de ataque contra Servidor MCP de GitHubutilizando un problema público para obligar a un agente a leer un repositorio privado y filtrarlo a través de una solicitud de extracción; Desde entonces, la misma técnica ha llegado a los flujos de trabajo automatizados del agente GitHub.

Ese caso fue uno de los ejemplos que señaló Simon Willison al nombrar al trifecta letal: un agente con acceso a datos privados, exposición a contenido no confiable y una forma de enviar datos. Cualquier agente con los tres puede volverse contra su propietario con un solo fragmento de texto, y los más útiles tienen los tres.

Un portavoz de Microsoft agradeció a Manifold por informar del comportamiento bajo divulgación coordinada y lo llamó «una clase conocida de riesgo de IA» que informa el trabajo continuo de la compañía sobre sus salvaguardas. Microsoft no dijo si cambiaría el código o asignaría un CVE.

Señaló que el ataque requiere que un atacante ya tenga acceso de escritura a un proyecto y un segundo usuario para invocar una herramienta de IA sobre el contenido, y recomendó a los clientes limitar el acceso al proyecto y «revisar los cambios propuestos antes de pedirle a una herramienta de IA que actúe en consecuencia». El problema es que la carga útil aquí es invisible en la interfaz que revisa un humano.

Hasta el 21 de julio, no hay ninguna versión solucionada y The Hacker News no encontró ningún CVE asignado a la falla en las bases de datos públicas. La última versión, v2.8.0enviado el 24 de junio. Ningún informe público sitúa la técnica en uso fuera de las propias pruebas de Manifold.

Manifold probó sólo el servidor local basado en PAT, pero le dijo a The Hacker News que la causa raíz está «en el código del servidor, no en el transporte». Según esa lógica, el alojamiento servidor MCP remoto También estaría expuesto, pero Manifold no lo probó y Microsoft no lo abordó.

El foco eleva el listón pero no cierra la inyección rápida por sí solo, por lo que las defensas son las habituales. Otorgue al agente tokens de privilegios mínimos y afínelo al proyecto que se está revisando. Cargue solo los dominios MCP que la tarea necesita; el servidor local los reduce con un indicador -d.

Mantenga las ejecuciones de canalizaciones, las lecturas de wiki y la publicación de comentarios fuera de un conjunto de herramientas de revisión de código que no los utiliza. Para verificar si la cadena ya se ejecutó, busque en los rastreos de herramientas del agente ejecuciones de canalizaciones entre proyectos, lecturas de wiki o comentarios que publicó durante una revisión, y escanee las descripciones de relaciones públicas abiertas en busca de comentarios HTML ocultos. Un revisor humano que no puede ver la carga útil no es un control.

La barandilla sólo funciona cuando alguien recuerda agregarla. Envuelve el contenido que no es de confianza en una ruta de respuesta a la vez, por lo que la defensa es tan fuerte como la ruta menos cubierta, y una envoltura faltante en una sola función es casi invisible desde el exterior. En una superficie de herramientas que sigue creciendo, brechas como ésta se abren más rápido de lo que nadie piensa al auditarlas.