I commenti invisibili prendono il controllo degli agent di review
Il punto non è un nuovo bug nel pull request: è che un testo che il reviewer non vede può comunque entrare nell’agent e fargli usare le sue credenziali Azure DevOps oltre il progetto aperto. La verifica umana e ciò che legge il modello non coincidono più, e il perimetro reale diventa l’accesso stabile del reviewer, non il singolo PR.
Manifold Security ha mostrato che un commento HTML nascosto nella descrizione del PR sparisce dalla UI ma torna grezzo via API, così l’agent lo tratta come istruzione. Microsoft aveva già introdotto un guardrail per altri tool del server Azure DevOps MCP, ma non per il path che restituisce i pull request; da lì un review agent può raggiungere source code, secrets e work items con i permessi dell’utente. Separatamente, Google ha portato CodeMender da progetto di ricerca a managed enterprise agent, segno che questi sistemi stanno entrando nei flussi operativi reali.
Il rischio prospettico è un canale opaco dentro i workflow di review: contenuti apparentemente innocui possono diventare comandi eseguibili per l’AI e attraversare i confini tra progetti con l’autorizzazione di chi sta facendo la verifica. Dove gli agent hanno accesso live a PR, pipeline, wiki o work items, la domanda non è più solo cosa c’è nel cambiamento, ma cosa può raggiungere l’agent con le credenziali di chi lo sta usando.
How AI is Rewriting the Zero-Day Playbook for Preemptive Security
Rapid7 is previewing a series of new features at Black Hat USA 2026 designed to transform the way security teams navigate the chaos of a zero-day threat to identify and close attack paths before they are exploited.
The most vulnerable AI products are also some of the most commonly exposed online
It is becoming increasingly easy for hackers to target vulnerable AI tools on companies’ networks, even as those companies come to depend on them for more tasks.