MCP e a segurança de agentes de IA: como o protocolo criou uma nova superfície de ataque

O Model Context Protocol (MCP) tornou os agentes de IA modulares: uma única interface padrão para conectá-los a qualquer ferramenta ou serviço. Por trás dessa unificação, porém, existe um problema sistêmico: cada novo servidor MCP amplia a zona de confiança do agente e cria um potencial ponto de ataque.

Por que o MCP criou novas vulnerabilidades

Os grandes modelos de linguagem não têm uma fronteira arquitetural entre "dados" e "instruções". Tudo o que entra no contexto do modelo é potencialmente executável. O MCP não resolve esse problema; ele o escala: agora um agente pode ter dezenas de ferramentas conectadas, e cada uma amplia a superfície de ataque.

Com a padronização do MCP, um invasor que assuma o controle de um único servidor, ou que consiga inserir dados em suas respostas, pode potencialmente influenciar toda a cadeia de ações do agente.

As três principais classes de ameaça no ecossistema MCP são:

• Tool poisoning — a descrição de uma ferramenta no servidor MCP contém instruções ocultas que alteram o comportamento do agente quando ela é chamada
• Indirect prompt injection — instruções maliciosas ficam escondidas em um documento, registro de banco de dados ou página web que o agente lê durante a tarefa
• Sampling abuse — manipulação da forma como o agente solicita novas saídas ao modelo, o que permite contornar as restrições do prompt de sistema

Até um PDF "inofensivo", a descrição de uma ferramenta ou uma linha de banco de dados podem conter comandos que o agente executará da mesma forma que instruções legítimas.

O que o teste prático mostrou

As vulnerabilidades não são teóricas. Um pesquisador realizou testes em um ambiente MCP vulnerável configurado especificamente para isso e registrou a execução real de comandos injetados. Entre os cenários documentados estão a interceptação de chamadas de ferramentas por meio de respostas do servidor MCP construídas para esse fim e a execução de instruções ocultas em documentos de texto entregues ao agente como "dados".

"Cada servidor MCP em que você confia amplia a zona de confiança de

todo o sistema — não só com suas ferramentas, mas com tudo o que ele pode entregar ao agente na forma de dados."

O scanner BarkingDog, desenvolvido pelo autor, detecta chamadas de ferramentas suspeitas em tempo real. Ele é uma das poucas ferramentas práticas de detecção disponíveis hoje para equipes de segurança.

Como a indústria tenta resolver o problema

Os fornecedores de infraestrutura de IA estão avançando em várias frentes ao mesmo tempo:

• MCP Gateways — uma camada de proxy que filtra e controla as chamadas de ferramentas antes que elas cheguem ao agente; algumas soluções adicionam um log de auditoria completo das interações
• Sandboxing — isolamento da execução dos servidores MCP, com acesso restrito ao sistema de arquivos, à rede e aos recursos do sistema
• Arquiteturas OAuth — autorização explícita de cada ferramenta com permissões mínimas de acesso; cada servidor MCP recebe apenas as permissões realmente necessárias para a tarefa específica

Por enquanto, todas essas soluções são parciais. O problema fundamental é arquitetural: enquanto os modelos de linguagem não aprenderem a separar data plane e control plane no nível do processamento de contexto, qualquer dado de entrada continuará sendo potencialmente executável.

O que isso significa

O MCP se tornou o padrão de fato para agentes de IA, e a questão da sua segurança saiu do campo acadêmico para o prático. Desenvolvedores que fazem deploy de agentes com servidores MCP devem tratar cada ferramenta conectada como um terceiro de confiança — com auditoria obrigatória, isolamento e o princípio do menor privilégio aplicado a cada chamada.