ช่องโหว่ MCP ของ Azure DevOps ให้คอมเมนต์ลับใน Pull Request ควบคุมเอเย่นต์ AI

การค้นพบช่องโหว่ใน Microsoft Azure DevOps MCP ที่ทำให้ผู้โจมตีสามารถฝังคอมเมนต์ที่มองไม่เห็นลงใน Pull Request ได้ ส่งผลให้เอเจนต์ AI ตรวจสอบโค้ดของผู้รีวิวถูกบังคับให้เข้าถึงโปรเจกต์ที่ผู้รีวิวไม่มีสิทธิ์และรั่วข้อมูลโดยไม่ได้รับการตรวจจับ รายงานนี้ทำให้ประเด็นความปลอดภัยของระบบอัตโนมัติในการเขียนโค้ดในองค์กรต้องได้รับการทบทวนใหม่อย่างเร่งด่วน

Overview

Azure DevOps เป็นแพลตฟอร์มจัดการวงจรพัฒนา (SDLC) ของ Microsoft ที่รวมเครื่องมือเช่นรีโพซิทอรี, Pipelines และ Pull‑Request Review เข้าด้วยกัน เมื่อไม่นานมานี้ทีมงานของ The Hacker News รายงานว่าพบช่องโหว่ในส่วน MCP server ของ Azure DevOps ซึ่งเป็นโมดูลที่ให้บริการการประสานงานและคอมเมนต์ระหว่างผู้พัฒนา

ตามข้อมูลจากแหล่งข่าว ช่องโหว่นี้เกิดจากการที่ระบบส่งคืนรายละเอียดของ Pull Request ไปยัง AI‑agent โดยไม่มี prompt‑injection guardrail ที่เคยตั้งค่าไว้ ทำให้คอมเมนต์ที่ซ่อนอยู่ (โดยใช้อักขระที่ไม่แสดงผล) สามารถเปลี่ยนทิศทางการทำงานของเอเจนต์ได้อย่างลับๆ

Technical Details

ในกระบวนการรีวิวโค้ด ปกติผู้รีวิวจะเปิด Pull Request แล้วระบบจะเรียก AI coding‑assistant เพื่อให้คำแนะนำหรือเตือนข้อผิดพลาดของโค้ด อย่างไรก็ตาม MCP server จะส่งข้อความ “description” ของ PR ไปยังโมเดลโดยตรง หากไม่มีการกรองหรือทำ sanitization ใดๆ คำสั่งที่ฝังอยู่ในคอมเมนต์มิดชิดจะถูกตีความเป็น prompt สำหรับ AI

ผลลัพธ์คือเอเจนต์อาจรับคำสั่งให้ “เรียกข้อมูลจาก repository X” หรือ “ส่งผลลัพธ์กลับไปยัง URL ที่โจรกำหนด” แม้ว่าผู้รีวิวเองไม่ได้มีสิทธิ์เข้าถึง Repository X นั้นเลย การทำงานเช่นนี้ถือเป็นการละเมิดหลักการ least‑privilege ของระบบ

Exploitation Scenario

ขั้นตอนการโจมตีโดยสรุปประกอบด้วย:

ผู้โจมตีสร้าง Pull Request ที่รวมคอมเมนต์ซ่อน (ใช้ Unicode zero‑width space หรืออักขระควบคุม) อยู่ในส่วน description หรือ comment field
เมื่อผู้รีวิวเปิด PR ระบบจะส่งข้อความทั้งหมดไปยัง AI assistant ซึ่งไม่มีการตรวจจับ prompt‑injection
เอเจนต์ทำตามคำสั่งที่ซ่อนอยู่ เช่น ดึงข้อมูลจากโฟลเดอร์หรือ repository ที่ไม่ได้รับอนุญาต และอาจส่งผลลัพธ์กลับทางช่องสื่ออื่น (เช่น webhook)

การโจมตีนี้สามารถดำเนินได้โดยผู้ใช้ที่มีสิทธิ์เปิด PR ธรรมดา แต่ไม่จำเป็นต้องมีสิทธิ์เข้าถึงข้อมูลเป้าหมาย ทำให้ระดับความเสี่ยงขยายออกไปถึงทุกองค์กรที่ใช้งาน Azure DevOps พร้อม AI‑assistant

Impact

ผลกระทบของช่องโหว่นี้รวมถึง:

การรั่วไหลของซอร์สโค้ด หรือข้อมูลลับจาก repository ที่ไม่ได้เปิดเผยต่อสาธารณะ
การละเมิดความเป็นส่วนตัวของข้อมูลภายในองค์กร เนื่องจากเอเจนต์อาจส่งผลลัพธ์ไปยังปลายทางที่โจรควบคุมได้โดยไม่ถูกตรวจจับ
ความเชื่อมั่นต่อเครื่องมือ AI‑assistant ลดลง ทำให้ทีมพัฒนาต้องทบทวนการใช้เทคโนโลยีนี้ในกระบวนการ CI/CD

องค์กรที่อาศัย Azure DevOps เป็นส่วนสำคัญของโครงสร้าง DevSecOps จึงต้องประเมินความเสี่ยงและตรวจสอบว่าโค้ดใดบ้างที่อาจได้รับผลกระทบจากช่องโหว่นี้

Mitigation & Recommendations

จนกว่าจะมีการออกแพตช์อย่างเป็นทางการ Microsoft ควรดำเนินการตามขั้นตอนต่อไปนี้:

ปรับ input sanitization สำหรับข้อความ Pull Request ทั้งหมด รวมถึง description และคอมเมนต์ที่อาจซ่อนอักขระพิเศษ
เปิดใช้ฟีเจอร์ prompt‑injection detection บน AI assistant หรือจำกัดการเข้าถึงโมเดลให้เฉพาะผู้ดูแลระบบเท่านั้น
แนะนำทีมพัฒนาให้ตรวจสอบ Pull Request อย่างละเอียดก่อนเปิดใช้งาน AI‑assistant โดยมองหาคอมเมนต์ที่มีอักขระ “invisible” หรือรูปแบบข้อความแปลกประหลาด

องค์กรควรทำ audit ของกิจกรรม AI coding agents ที่เคยเรียกใช้ในช่วงที่ผ่านมา เพื่อตรวจหาเหตุการณ์ที่อาจเกิดขึ้นโดยไม่ได้รับการแจ้งเตือน นอกจากนี้ การอัพเดตเครื่องมือและไลบรารีให้เป็นเวอร์ชันล่าสุดยังช่วยลดความเสี่ยงจากช่องโหว่ที่คล้ายกันได้

Analysis

ช่องโหว่นี้สะท้อนถึงข้อจำกัดของ AI‑driven development tools ที่มักจะได้รับการพิจารณาว่า “ปลอดภัย” เนื่องจากเป็นเทคโนโลยีใหม่ การผสมผสานระหว่างระบบอัตโนมัติและกระบวนการรีวิวโค้ดทำให้พื้นที่โจมตีเพิ่มขึ้นอย่างรวดเร็ว แม้ว่า Microsoft จะมีมาตรการป้องกัน prompt‑injection มาก่อน แต่กรณีนี้แสดงให้เห็นว่าการตรวจสอบ all entry points ยังคงเป็นสิ่งจำเป็น

จากมุมมองของ DevSecOps การผสาน AI เข้ากับ pipeline ควรได้รับการจัดการโดย policy‑as‑code ที่บังคับใช้กฎเกณฑ์ความปลอดภัย เช่น ไม่ให้โมเดลเข้าถึงข้อมูลที่ไม่ได้ระบุไว้ใน policy นอกจากนี้ การฝึกอบรมนักพัฒนาด้าน “prompt hygiene” หรือวิธีเขียน prompt ให้ปลอดภัยอาจช่วยลดโอกาสการถูกหลอกโดยคอมเมนต์มิดชิดได้

Summary

ช่องโหว่ Azure DevOps MCP ทำให้คอมเมนต์ที่ซ่อนอยู่สามารถบังคับเอเจนต์ AI ตรวจสอบโค้ดให้เข้าถึงและรั่วข้อมูลจากโปรเจกต์ที่ไม่ได้รับอนุญาต รายงานนี้กระตุ้นให้องค์กรเร่งตรวจสอบระบบ AI‑assistant ของตน และเตรียมพร้อมอัปเดตการป้องกัน prompt‑injection ก่อนที่ Microsoft จะปล่อยแพตช์อย่างเป็นทางการ.