摘要
微软 Azure DevOps MCP 伺服器存在缺陷，攻击者可利用 PR 描述中的隐藏 HTML 注解注入指令，操控 AI 编码代理。概念验证中，被注入的注解使代理批准 PR、触发独立管线、存取机密 Wiki，并将资料回传为可见评论，全程避开人力审查。由于代理使用用户凭证，可存取攻击者原无法取得的资料。微软已实施 spotlighting 防护，但未涵盖 PR 描述内容，尚未发布修补程式。专家指出这构成代理风险的致命三重奏：存取私有资料、暴露于不可信内容、外部传输管道，为依赖 AI 代理的开发团队敲响警钟。
重點整理
- 开发团队应立即稽核 PR 描述及代理权限范围，并限制 MCP 工具只载入必要领域。
- 了解 AI 开发工具中的资安弱点及其缓解措施，避免开发流程遭恶意操控。
編輯說明
本頁是 Code & Chain 對公開來源的編輯摘要，可能使用 AI 輔助整理並經自動化流程發布。請以原始來源為準；內容不構成投資、法律或稅務建議。