A inteligência artificial está crescendo em um ritmo que poucos conseguem acompanhar — e isso inclui as equipes de segurança.
Cada novo padrão que surge no ecossistema de IA se espalha em meses, não em anos.
Isso é ótimo para a evolução da tecnologia, mas abre brechas que demoram tempo demais para serem fechadas.
É exatamente aí que os MCP servers entram na história.
Lançado pela Anthropic em novembro de 2024, o Model Context Protocol — o MCP — se tornou o padrão favorito para conectar agentes de IA a ferramentas externas e fontes de dados. Em menos de 12 meses, já estava presente em praticamente todos os grandes assistentes de código e nas principais plataformas de IA do mercado. E os números impressionam: em dezembro de 2025, a Anthropic anunciou que mais de 10 mil servidores MCP públicos ativos já estavam em operação, com suporte de gigantes como AWS, Google Cloud e Azure.
Crescimento impressionante, sem dúvida. Mas essa velocidade toda teve um custo.
Enquanto a adoção explodiu, a segurança ficou para trás — e a janela de vulnerabilidade que se abriu é maior do que a maioria das pessoas imagina. As ameaças que rondam essa infraestrutura vão desde ataques sofisticados que manipulam o comportamento dos agentes até vazamento de dados escondido dentro de chamadas aparentemente normais. E os números confirmam: 40% dos servidores MCP analisados tinham vulnerabilidades exploráveis.
- E-BOOK GRATUITO
Um guia prático para avaliar, comparar e implementar inteligência artificial com clareza — sem desperdício de tempo ou dinheiro.
Pare de contratar ferramentas sem direção. Criamos um método estruturado para decidir qual IA realmente faz sentido para o seu negócio.
Entrega em PDF no seu e-mail · Sem spam · LGPD
🔒 Seus dados são protegidos conforme a LGPD. Você pode descadastrar a qualquer momento.
Neste artigo, você vai entender por que os MCP servers viraram o novo alvo favorito dos hackers, quais são os principais riscos envolvidos e o que as empresas de segurança estão construindo agora para tentar fechar essa lacuna antes que algo grave aconteça. 🔐
Como o MCP virou o conector padrão da IA em cerca de um ano
Para entender o problema, primeiro é preciso entender o que o MCP faz na prática. Ele funciona como uma ponte padronizada entre um modelo de linguagem — como o Claude, o GPT ou qualquer outro — e o mundo externo: arquivos, bancos de dados, APIs, ferramentas de desenvolvimento, sistemas internos de empresas. Antes do MCP, cada integração era feita de forma customizada, artesanal, o que tornava tudo mais lento, mas também mais isolado.
A grande vantagem de um servidor MCP é que ele permite que agentes, assistentes e ferramentas de código usem uma única interface para se conectar de forma segura a múltiplas ferramentas e fontes de dados, ao invés de precisar de um conector personalizado para cada caso. Plataformas líderes como ChatGPT, Gemini, Microsoft Copilot, Cursor e Visual Studio Code já adotaram o padrão. Essa curva de adoção validou o MCP como o protocolo de escolha da Anthropic para conexões entre agentes e ferramentas — algo raro no espaço altamente competitivo dos modelos de linguagem.
O problema é que essa fluidez toda não veio acompanhada de camadas robustas de proteção desde o início — e quando um padrão se espalha tão rápido sem controles adequados, ele inevitavelmente vira isca para quem quer explorar falhas. As defesas de IA existentes simplesmente não foram construídas para situações em que agentes acessam ferramentas e sistemas sensíveis de forma dinâmica.
O cenário ficou ainda mais delicado porque os MCP servers não operam em ambientes controlados. Eles ficam expostos a agentes de IA que recebem instruções de diversas fontes — e nem sempre essas fontes são confiáveis. Um agente pode ser instruído, por exemplo, a buscar informações em uma página da web ou em um documento externo. Se esse conteúdo tiver sido manipulado por um atacante, o agente pode começar a executar ações que não foram autorizadas por ninguém, simplesmente porque ele interpretou aquele conteúdo como uma instrução legítima. Esse tipo de ataque tem nome: prompt injection. E ele é particularmente perigoso justamente porque não exige acesso direto ao sistema — o ataque acontece dentro do fluxo normal de uso.
Além do prompt injection, os MCP servers também enfrentam outro problema estrutural: a falta de verificação de identidade entre servidores. Quando um agente de IA se conecta a um servidor MCP, em muitos casos não existe um mecanismo sólido para confirmar que aquele servidor é quem diz ser. Isso abre espaço para ataques de server spoofing, onde um servidor falso se passa por legítimo e começa a receber — e interceptar — informações sensíveis que deveriam ir para outro lugar. Com 40% dos servidores analisados apresentando vulnerabilidades exploráveis, esse não é um risco teórico. É uma realidade operacional. 😬
O que dá errado quando um MCP server tem uma falha
Quando pesquisadores de segurança começaram a olhar mais de perto para o ecossistema MCP, o que encontraram foi uma superfície de ataque bem mais ampla do que se esperava. A OWASP, o Open Worldwide Application Security Project, já mapeou uma série de ameaças sérias que afetam os servidores MCP. A combinação entre velocidade de adoção, falta de padrões de segurança consolidados e a natureza autônoma dos agentes de IA criou um conjunto de vetores de ataque que ainda estão sendo mapeados.
Entre as ameaças mais relevantes identificadas até agora, algumas se destacam pela sofisticação e pelo potencial de dano:
- Tool Poisoning: uma preocupação central, que leva o prompt injection para outro nível ao embutir instruções maliciosas em descrições de ferramentas, esquemas ou valores de retorno, manipulando o comportamento do agente.
- Rug Pull: um ataque único do ecossistema emergente de IA, em que o atacante altera a definição de uma ferramenta depois que um humano já a aprovou, explorando exatamente a confiança criada por essa aprovação.
- Tool Shadowing e escalada cross-origin: o atacante usa a descrição de uma ferramenta de um servidor malicioso para manipular como o agente utiliza ferramentas que pertencem a outro servidor confiável.
- Exfiltração de dados via canais legítimos: informações sensíveis são inseridas de forma discreta dentro de chamadas que parecem completamente normais, como buscas e e-mails, tornando a detecção muito difícil sem uma camada de análise específica.
- Escalada de privilégios: o servidor recebe mais acesso do que a tarefa realmente exige, criando uma exposição muito maior do que o necessário.
O que torna esse conjunto de ameaças especialmente complicado de gerenciar é que muitos desses ataques não acionam os alertas tradicionais de segurança. Eles não parecem intrusões — parecem uso normal do sistema. Um firewall convencional não vai identificar um prompt injection embutido em um PDF que o agente foi instruído a ler. Uma solução de antivírus não vai detectar uma ferramenta MCP que foi modificada para executar uma função diferente da que está descrita. Isso exige uma abordagem completamente diferente de proteção, pensada especificamente para o contexto de agentes de IA operando em ambientes conectados.
Outro ponto que os especialistas destacam é o efeito cascata que um servidor MCP comprometido pode ter. Como o MCP foi projetado para ser o elo central entre o agente e múltiplas ferramentas e fontes de dados, comprometer um único servidor pode dar ao atacante acesso simultâneo a vários sistemas diferentes — bancos de dados, repositórios de código, ferramentas de comunicação interna, sistemas de arquivos. Não é exagero dizer que um servidor MCP mal protegido pode ser a porta de entrada para um ataque de proporções bem maiores do que a maioria das equipes de TI está preparada para conter. 🚨
Por que segurança de MCP não é a mesma coisa que segurança de agente
Aqui vale um alerta importante: proteger os MCP servers é vital, mas não é o quadro completo. Conectar-se através de servidores MCP é apenas uma das muitas formas que os agentes de IA têm de alcançar as ferramentas e os dados de que precisam. Garantir a segurança dessa camada ajuda bastante a prevenir tool poisoning, acesso não autorizado e vazamento de dados — mas não é suficiente sozinho. Os agentes ainda conseguem interagir com outros sistemas sem usar o MCP em momento algum.
Isso faz da segurança de MCP apenas um fio dentro de uma tapeçaria muito mais ampla de segurança de IA. Quando você avaliar fornecedores de soluções de proteção para servidores MCP, é importante analisá-los dentro desse contexto maior. Vale verificar o quão bem eles protegem as interações e riscos específicos do MCP, mas você ainda vai precisar de controles adicionais para blindar todo o ecossistema de IA — então checar o nível de integração com o restante da sua stack de segurança faz toda a diferença.
O Firewall que a IA precisa — e que ainda está sendo construído
A boa notícia é que a comunidade de segurança já acordou para o problema. Empresas especializadas e pesquisadores independentes estão desenvolvendo soluções que funcionam como uma camada de proteção dedicada para o tráfego que passa pelos MCP servers — algo que começa a ser chamado informalmente de firewall para IA. Vale um esclarecimento: esse termo hoje tem dois significados. Um é o firewall mais antigo, turbinado por IA, que defende uma rede contra ameaças convencionais como malware e invasões. O outro, mais novo e o que interessa aqui, é o firewall construído especificamente para defender a própria IA: seus modelos, agentes e as ferramentas conectadas, contra ameaças como prompt injection e vazamento de dados.
A ideia central é criar um ponto de controle que analisa não só o que está sendo transmitido, mas o contexto em que essa transmissão está acontecendo, identificando padrões de comportamento suspeitos que um sistema de segurança tradicional simplesmente não consegue ver. Algumas das abordagens que estão sendo desenvolvidas incluem sistemas de análise semântica das mensagens que trafegam entre agentes e servidores MCP, capazes de identificar instruções maliciosas mesmo quando elas estão disfarçadas dentro de conteúdo aparentemente legítimo.
Diferentes empresas já estão apostando em caminhos distintos. O AI Gateway da TrueFoundry oferece governança na camada de infraestrutura, com controle de acesso e auditoria das interações entre ferramentas e agentes MCP. A Cisco estendeu seu produto AI Defense para incluir guardrails voltados a agentes, escaneamento de MCP e inspeção de tráfego em tempo real, projetados para detectar e bloquear comportamentos inseguros.
Receba o melhor conteúdo de inovação em seu e-mail
Todas as notícias, dicas, tendências e recursos que você procura entregues na sua caixa de entrada.
Ao assinar a newsletter, você concorda em receber comunicações da Método Viral. A gente se compromete a sempre proteger e respeitar sua privacidade.
Já o AI Network Firewall da Check Point, lançado em julho de 2026, adota uma abordagem centrada na rede, costurando a segurança de IA à infraestrutura de firewall já existente dos clientes. Ele descobre servidores MCP, inspeciona o tráfego MCP e aplica políticas em torno do acesso dos agentes, cobrindo tanto interações de funcionários e aplicações quanto de agentes com o MCP e outras conexões externas.
O desafio maior, no entanto, é que essas soluções precisam ser implementadas em um ecossistema que já está em movimento. Não dá para simplesmente pausar a adoção do MCP enquanto a segurança é ajustada — as empresas já estão usando, os agentes já estão operando, e os dados já estão fluindo. Isso significa que qualquer solução de segurança precisa ser capaz de se integrar ao ambiente existente sem criar atrito operacional significativo, algo que é tecnicamente muito mais difícil do que construir proteções desde o zero. 🛡️
O que as empresas podem fazer agora
Enquanto as soluções definitivas ainda estão sendo finalizadas, existem práticas que já fazem diferença na redução da superfície de ataque dos MCP servers. A primeira delas é o princípio do menor privilégio aplicado de forma rigorosa: cada agente de IA deve ter acesso apenas às ferramentas e fontes de dados estritamente necessárias para a tarefa que ele executa, sem permissões extras que possam ser exploradas em um ataque de escalada. Isso parece óbvio, mas na prática muitas implementações de MCP ainda concedem permissões amplas por conveniência — e conveniência, nesse contexto, é sinônimo de risco.
Outra prática importante é o monitoramento ativo do comportamento dos agentes, com alertas configurados para identificar padrões fora do normal — como um agente que começa a acessar recursos que nunca acessou antes, ou que passa a fazer um volume atipicamente alto de chamadas a um servidor específico. Esse tipo de monitoramento comportamental é diferente do monitoramento de rede tradicional e requer ferramentas adaptadas para o contexto de IA, mas já existem opções disponíveis no mercado que conseguem fazer essa análise de forma eficiente.
Por fim, revisões regulares das ferramentas e servidores MCP registrados no ambiente são essenciais. O ecossistema MCP ainda é muito jovem, o que significa que ferramentas de terceiros entram e saem com frequência, atualizações acontecem sem muito aviso e a cadeia de fornecimento desse ecossistema ainda não foi auditada de forma consistente. Manter um inventário atualizado de tudo que está conectado ao ambiente MCP da empresa — e revisar esse inventário com regularidade — é uma das formas mais simples e eficazes de reduzir o risco de uma surpresa desagradável.
A segurança sempre fica para trás quando a infraestrutura escala nessa velocidade, e o MCP está seguindo exatamente esse padrão. No momento, vemos fornecedores e organizações testando soluções diferentes para um problema emergente — seja um firewall de rede consciente de IA, governança na camada de infraestrutura ou guardrails dedicados. Qual abordagem vai vencer importa muito menos do que a capacidade das equipes de fechar essa lacuna antes que um ataque específico ao MCP force a situação. A inteligência artificial veio para ficar, os MCP servers são parte central dessa história, e a segurança dessa infraestrutura vai definir muito do que acontece nos próximos anos no campo da IA corporativa. 🔒
