I commenti invisibili prendono il controllo degli agent di review
Il punto non è un nuovo bug nel pull request: è che un testo che il reviewer non vede può comunque entrare nell’agent e fargli usare le sue credenziali Azure DevOps oltre il progetto aperto. La verifica umana e ciò che legge il modello non coincidono più, e il perimetro reale diventa l’accesso stabile del reviewer, non il singolo PR.
Manifold Security ha mostrato che un commento HTML nascosto nella descrizione del PR sparisce dalla UI ma torna grezzo via API, così l’agent lo tratta come istruzione. Microsoft aveva già introdotto un guardrail per altri tool del server Azure DevOps MCP, ma non per il path che restituisce i pull request; da lì un review agent può raggiungere source code, secrets e work items con i permessi dell’utente. Separatamente, Google ha portato CodeMender da progetto di ricerca a managed enterprise agent, segno che questi sistemi stanno entrando nei flussi operativi reali.
Il rischio prospettico è un canale opaco dentro i workflow di review: contenuti apparentemente innocui possono diventare comandi eseguibili per l’AI e attraversare i confini tra progetti con l’autorizzazione di chi sta facendo la verifica. Dove gli agent hanno accesso live a PR, pipeline, wiki o work items, la domanda non è più solo cosa c’è nel cambiamento, ma cosa può raggiungere l’agent con le credenziali di chi lo sta usando.