Как вы упомянули, вам нужно использовать PAT, но так:
git push https://{PAT}@dev.azure.com/{organization}/{project}/_git/{repo-name}
Другое решение состоит в том, чтобы "Разрешить сценариям доступ к токену OAuth" в параметрах задания:
В git push используйте System.AccessToken:
git push https://$env:SYSTEM_ACCESSTOKEN@dev.azure.com/......
И предоставьте push-разрешения пользователю сборки (в настройках репо):