Kerentanan Microsoft Azure DevOps MCP: Komentar PR Tersembunyi Bisa Bajak Agen AI Review

Microsoft Azure DevOps MCP baru-baru ini ditemukan memiliki celah keamanan serius yang memungkinkan sebuah komentar tersembunyi di pull request (PR) mengendalikan agen AI review secara diam-diam. Komentar yang tidak terlihat oleh manusia ini dapat mengarahkan agen AI untuk mengakses proyek lain yang seharusnya tidak boleh dijangkau oleh pelaku serangan, sekaligus membocorkan kode sumber, rahasia, dan item kerja penting.

Bagaimana Kerentanan Ini Bekerja

Kerentanan ini berada di server resmi Microsoft Azure DevOps MCP. Masalahnya muncul karena salah satu alat pada server tersebut mengembalikan deskripsi pull request tanpa menerapkan prompt-injection guardrail—fitur pengaman yang sebenarnya sudah diterapkan Microsoft pada alat lainnya.

Ada perbedaan antara apa yang dilihat manusia dan apa yang diterima agen AI. Azure DevOps mendukung Markdown dalam deskripsi PR, termasuk komentar HTML yang disembunyikan dengan format <!-- ... -->. Di antarmuka web, komentar ini tidak terlihat, sehingga reviewer menganggap PR terlihat biasa saja. Namun, API REST mengirimkan komentar tersebut secara verbatim (apa adanya) ke agen AI, yang kemudian menganggapnya sebagai instruksi yang harus dijalankan.

Akibatnya, agen AI yang beroperasi menggunakan kredensial reviewer dapat diarahkan untuk mengakses proyek lain yang tidak memiliki izin oleh pelaku serangan.

Rantai Eksploitasi dan Dampaknya

Perusahaan keamanan Manifold Security menunjukkan bahwa akses yang bisa didapatkan meliputi:

• Kode sumber rahasia
• Data rahasia (secrets)
• Item kerja (work items)
• Halaman wiki yang bersifat privat

Dalam bukti konsep mereka, sebuah PR yang tampak normal berisi komentar tersembunyi yang mengandung payload berbahaya. Saat agen AI mulai mereview, agen ini dapat memicu pipeline di proyek lain, membaca halaman wiki rahasia, lalu mengirimkan ulang data tersebut sebagai komentar di PR yang dapat dilihat pelaku serangan.

Semua tindakan ini dilakukan oleh agen AI dengan izin reviewer, tanpa pelaku serangan memiliki akses langsung ke proyek tersebut. Ini adalah contoh klasik confused-deputy bug, di mana agen AI tidak bisa membedakan instruksi dari konten yang tidak dipercaya dan malah menjalankan perintah berbahaya.

Kenapa Perlindungan Microsoft Gagal Menangkal

Microsoft sebelumnya sudah menerapkan metode spotlighting untuk mencegah prompt injection, yaitu membungkus konten yang tidak dipercaya dengan delimiter agar model AI dapat membedakan antara instruksi dan data. Namun, metode ini tidak diterapkan pada fungsi yang mengembalikan deskripsi pull request, sehingga jalur ini menjadi celah yang bisa dimanfaatkan.

Manifold Security mengecek kode sumber dan mengonfirmasi bahwa celah ini masih ada hingga versi 2.7.0 dan belum diperbaiki pada versi terbaru 2.8.0 yang dirilis Juni 2026. Hingga saat ini, Microsoft belum mengeluarkan perbaikan atau CVE terkait kerentanan ini.

Faktor Pendukung Eksploitasi

1. Adanya PR dengan komentar tersembunyi berbahaya yang dibuat oleh pelaku serangan.
2. Penggunaan agen AI yang secara otomatis membaca dan mengeksekusi instruksi dari PR tersebut.
3. Reviewer yang memiliki akses lebih tinggi dari pelaku serangan dan menjalankan agen AI tanpa pengawasan atau konfirmasi per tindakan.
4. Agen AI yang memiliki izin menjalankan berbagai alat tanpa perlu konfirmasi lebih lanjut (auto-approve tool posture).

Keadaan makin berbahaya jika tim menggunakan sistem review otomatis yang dijalankan tanpa interaksi manusia sama sekali, sehingga aksi berbahaya dapat terjadi dan berlangsung lama sebelum terdeteksi.

Rekomendasi dan Pentingnya Pembatasan Akses

Microsoft sendiri menyarankan agar pelanggan membatasi akses proyek dan selalu melakukan review menyeluruh terhadap perubahan sebelum meminta agen AI bertindak. Namun, karena payload tersembunyi tidak terlihat secara visual, tindakan ini sulit dilakukan secara efektif hanya oleh manusia.

Manifold Security merekomendasikan langkah-langkah berikut untuk meminimalisasi risiko:

• Menggunakan token dengan hak akses paling terbatas (least privilege)
• Membatasi cakupan agen AI hanya pada proyek yang sedang direview
• Menghindari memasukkan pipeline, wiki, dan fitur komentar otomatis pada alat review kode yang sama
• Memeriksa jejak aktivitas agen AI untuk mendeteksi operasi lintas proyek yang mencurigakan
• Memindai deskripsi PR untuk menemukan komentar HTML tersembunyi yang mencurigakan

Analisis Redaksi

Menurut pandangan redaksi, kerentanan ini menggarisbawahi risiko inheren dalam penggunaan AI otomatis yang memiliki akses luas dan tidak dibarengi dengan proteksi keamanan yang tepat. Agen AI yang disematkan dalam proses DevOps memiliki potensi besar untuk menghemat waktu dan meningkatkan produktivitas, tetapi juga dapat menjadi vektor serangan baru yang sulit dideteksi jika tidak diawasi ketat.

Masalahnya bukan hanya pada bug teknis, tetapi juga pada trust model yang digunakan: agen AI menjalankan perintah berdasarkan data yang diterimanya, tanpa kemampuan memverifikasi niat atau konteks. Ini menuntut perusahaan untuk memperketat manajemen akses dan mengadopsi prinsip keamanan berlapis (defense in depth).

Ke depan, pengguna Azure DevOps dan platform serupa harus waspada terhadap potensi eksploitasi semacam ini, terutama ketika mengintegrasikan AI dalam workflow otomatis. Pengawasan manual dan audit keamanan rutin masih menjadi kunci untuk mencegah kebocoran data akibat eksploitasi tersembunyi seperti ini.

Untuk informasi lebih lanjut dan perkembangan terkait, Anda bisa membaca laporan lengkap di The Hacker News dan mengikuti update resmi dari Microsoft.