Segurança MCP: Riscos, Arquitetura e Melhores Práticas

O Model Context Protocol, ou MCP, está mudando a forma como a inteligência artificial interage com os sistemas empresariais.

Em vez de criar uma integração personalizada separada para cada fonte de dados, aplicativo ou ferramenta, os desenvolvedores podem usar o MCP para fornecer aos aplicativos de IA uma maneira padronizada de:

• recuperar dados contextuais
• Descubra as ferramentas disponíveis
• invocar funções aprovadas
• interagir com serviços externos
• Suporte a fluxos de trabalho agenticos de várias etapas

Isso torna o MCP valioso para copilotos, assistentes de codificação, fluxos de trabalho de segurança, análises, suporte ao cliente e agentes de IA autônomos.

Isso também cria uma nova barreira de segurança.

Um agente habilitado para MCP pode ser capaz de ler arquivos, consultar bancos de dados, chamar APIs, atualizar registros, acionar varreduras, abrir chamados ou executar outras ações importantes. Se os controles ao redor forem fracos, os invasores podem manipular o agente, abusar de suas credenciais, expor informações confidenciais ou fazê-lo invocar a ferramenta errada.

O MCP padroniza a conectividade, mas isso não a torna automaticamente segura.

As organizações devem proteger todo o ecossistema MCP como parte de uma estratégia mais ampla. Estratégia de segurança e governança de IA, incluindo o aplicativo host, clientes, servidores, ferramentas, recursos, prompts, credenciais, canais de transporte, dados corporativos e comportamento do agente.

O que é o Protocolo de Contexto de Modelo?

Protocolo de Contexto do Modelo É um protocolo aberto que padroniza a forma como as aplicações de IA se conectam a fontes de dados e ferramentas externas.

O MCP fornece uma interface comum por meio da qual um aplicativo de IA pode descobrir recursos disponíveis, recuperar contexto e invocar ações aprovadas. Isso reduz a necessidade de criar e manter uma integração proprietária separada para cada modelo, ferramenta ou fonte de dados.

O protocolo pode suportar conexões com:

• sistemas de arquivos e repositórios de documentos
• bancos de dados e plataformas de dados
• repositórios de código-fonte
• serviços em nuvem
• aplicações de negócios
• plataformas de segurança
• sistemas de bilhetagem
• APIs empresariais

O MCP é especialmente importante para agentes autônomos. Os agentes precisam de mais do que um modelo de linguagem para realizar tarefas reais. Eles precisam de contexto, credenciais, ferramentas e permissão para interagir com sistemas externos.

No entanto, cada nova conexão também pode criar um novo caminho para dados sensíveis ou ações privilegiadas. Portanto, o MCP deve ser tratado como parte da arquitetura de segurança de aplicativos, identidade, dados e IA da organização.

Como funciona a arquitetura MCP

O MCP segue uma arquitetura host-cliente-servidor.

Um host pode criar vários clientes MCP, com cada cliente mantendo uma conexão com um servidor MCP. A segurança de todo o ambiente depende dos controles implementados pelo host, por cada cliente e por todos os servidores conectados.

Host MCP

O host MCP é o aplicativo de IA que coordena a experiência do usuário, o modelo de linguagem, os clientes MCP, as permissões e as políticas de segurança.

O anfitrião decide:

• quais servidores podem se conectar
• Quais ferramentas e recursos são expostos?
• Que consentimento do usuário é necessário?
• Quais ações exigem aprovação?
• como o contexto é compartilhado e isolado

Preocupação com a segurança: Um host que expõe muitas ferramentas ou aprova automaticamente ações de alto impacto pode dar a um agente mais autoridade do que a sua tarefa exige.

Cliente MCP

Um cliente MCP é executado dentro do host e mantém uma conexão com um servidor MCP específico. Ele negocia funcionalidades, troca mensagens de protocolo, recupera recursos, apresenta ferramentas e retorna resultados para o host.

Preocupação com a segurança: Um cliente que não valida as respostas do servidor, as definições das ferramentas, os escopos solicitados ou os resultados pode passar instruções maliciosas ou conteúdo inseguro para o modelo de linguagem.

Servidor MCP

Um servidor MCP expõe recursos, prompts ou ferramentas executáveis a um cliente. Os servidores podem ser executados localmente ou remotamente e podem se conectar a dados corporativos, aplicativos de negócios, APIs ou sistemas de segurança.

Preocupação com a segurança: Um servidor MCP pode armazenar credenciais, expor funções privilegiadas, acessar sistemas sensíveis ou influenciar o comportamento de agentes. As organizações devem tratar os servidores como componentes de aplicativos de produção, e não como plugins leves que podem ser instalados sem revisão.

Camadas de dados e transporte

O MCP utiliza mensagens JSON-RPC para trocar ferramentas, recursos, avisos, solicitações, notificações e resultados.

O protocolo atual define:

• stdio: Comunicação com um processo de servidor local através de entrada e saída padrão.
• HTTP em fluxo contínuo: Comunicação baseada em HTTP que pode suportar conexões remotas e streaming opcional.

O oficial Especificação de transporte MCP Exige que os servidores HTTP Streamable validem os cabeçalhos Origin recebidos. Também recomenda vincular servidores locais ao localhost e autenticar as conexões.

Preocupação com a segurança: Pontos de extremidade expostos, autenticação fraca, tratamento de origem inválido ou tokens de portador vazados podem permitir interação não autorizada com um servidor MCP.

O que são primitivas MCP?

Os componentes básicos do MCP definem as capacidades que clientes e servidores podem oferecer uns aos outros.

Primitivas do lado do servidor

Recursos Fornecer dados contextuais, como arquivos, registros de banco de dados, esquemas ou respostas de API.

Ferramentas São funções executáveis que podem consultar sistemas, modificar registros, criar chamados, iniciar verificações ou executar outras ações.

Instruções São modelos reutilizáveis que estruturam interações com um modelo de linguagem.

Funcionalidades do lado do cliente

Amostragem Permite que um servidor solicite a conclusão de um modelo por meio do cliente.

Raízes Comunicar os limites do sistema de arquivos ou URIs dentro dos quais um servidor pode operar.

Elicitação Permite que um servidor solicite informações adicionais ou confirmação de um usuário.

Essas funcionalidades são poderosas, mas suas descrições e resultados não devem ser considerados confiáveis automaticamente. As anotações das ferramentas devem ser tratadas como não confiáveis, a menos que provenham de um servidor confiável. As entradas devem ser validadas, as saídas higienizadas e as chamadas consequentes exibidas aos usuários antes da execução.

Por que a segurança do MCP é importante

As interfaces de bate-papo tradicionais com IA retornam principalmente texto.

Sistemas de IA habilitados para MCP podem agir.

Um agente comprometido ou manipulado pode ser capaz de:

• recuperar registros de clientes
• modificar ou excluir arquivos
• enviar mensagens
• alterar permissões
• acionar fluxos de trabalho
• executar código
• chamar APIs downstream
• Combinar diversas ferramentas em uma única cadeia de ações

Uma instrução maliciosa pode, portanto, influenciar uma ação realizada com credenciais legítimas da empresa, e não apenas o texto de uma resposta padrão.

As organizações precisam governança de acesso a dados Para entender quais usuários, agentes, aplicativos e ferramentas podem acessar informações corporativas confidenciais.

A segurança do MCP também exige visibilidade sobre:

• Quais servidores e ferramentas estão conectados?
• quem aprovou e é dono deles
• Quais identidades e credenciais eles usam?
• a que dados eles podem ter acesso.
• que ações eles podem realizar
• como essas ações são monitoradas
• como o acesso de risco pode ser revogado

Principais riscos de segurança do MCP

1. Permissões de Agente Excessivas

O caminho de implementação mais rápido pode ser conceder credenciais amplas a um servidor MCP ou expor uma grande coleção de ferramentas. Com o tempo, essas As permissões podem ir além da necessidade comercial original..

Um agente com privilégios excessivos pode ser capaz de:

• ler arquivos confidenciais não é necessário
• modificar ou excluir registros
• invocar APIs administrativas
• combinar ferramentas individualmente seguras em um fluxo de trabalho perigoso
• herdar o acesso por meio de uma conta de usuário ou de serviço.

Os agentes de IA funcionam como identidades não humanas que se autenticam em sistemas empresariais, herdam permissões e executam ações em nome de usuários ou processos de negócios.

As organizações devem mapear cada agente, servidor, ferramenta, identidade, autorização e fonte de dados acessível antes de habilitar a execução autônoma.

2. Injeção de Prompt e Manipulação de Contexto

Injeção rápida Isso ocorre quando conteúdo malicioso ou não confiável influencia as instruções de um sistema de IA.

Em um fluxo de trabalho MCP, a instrução pode ter origem em:

• um documento recuperado como recurso
• uma página da web
• um registro de banco de dados
• uma resposta da ferramenta
• um servidor comprometido
• um campo enviado pelo usuário

Por exemplo, um atacante poderia inserir uma instrução em um documento dizendo a um agente para ignorar suas restrições e transferir registros confidenciais para um destino externo.

Isso é conhecido como injeção indireta de prompts, porque o atacante manipula o conteúdo que o agente recupera posteriormente, em vez de se comunicar diretamente com o modelo.

Segurança imediata de IA, A inspeção de conteúdo, as restrições de ferramentas e as aprovações em nível de ação ajudam a impedir que contextos não confiáveis se tornem instruções executáveis. A proteção imediata também é um componente importante de IA TRiSM.

3. Envenenamento Contextual Persistente

O envenenamento de contexto ocorre quando um atacante compromete uma fonte da qual um agente depende repetidamente, como:

• um documento de política
• uma base de conhecimento
• memória do agente
• um banco de dados vetorial
• um registro de configuração
• um prompt fornecido pelo servidor

Ao contrário de uma única mensagem maliciosa, um contexto contaminado pode influenciar interações futuras até que a informação afetada seja descoberta e corrigida.

As organizações devem validar a proveniência dos dados, monitorar fontes confiáveis em busca de alterações, restringir quem pode modificar os dados recuperados e manter a linhagem em todos os fluxos de trabalho de IA. Esses controles devem fazer parte de uma abordagem mais ampla. estratégia de segurança do modelo de IA.

4. Envenenamento por ferramentas e sombreamento de ferramentas

Um servidor malicioso ou comprometido pode expor uma ferramenta com:

• um nome enganoso
• uma descrição enganosa
• comportamento oculto
• parâmetros padrão inseguros
• instruções elaboradas para manipular a seleção de ferramentas

O sombreamento de ferramentas ocorre quando uma ferramenta insegura se assemelha a uma ferramenta legítima de forma tão precisa que um host, modelo ou usuário seleciona a capacidade errada.

Os clientes devem tratar os metadados das ferramentas como não confiáveis, monitorar as alterações nas definições das ferramentas, exibir as entradas sensíveis antes da execução, validar as saídas e exigir confirmação para ações subsequentes.

5. Transmissão e exposição de tokens

A passagem de token ocorre quando um servidor MCP aceita um token de um cliente e encaminha esse mesmo token para uma API subsequente.

O especificação oficial de autorização MCP Exige que os tokens sejam validados para o público-alvo pretendido e proíbe explicitamente a passagem de tokens.

Um servidor MCP que chama um serviço downstream deve obter um token separado, emitido especificamente para esse serviço. Caso contrário, os controles de acesso, limites de taxa, monitoramento e limites de auditoria podem ser ignorados.

Os tokens também podem ser expostos através de:

• registros de depuração
• URLs ou strings de consulta
• armazenamento local inseguro
• mensagens de erro
• parâmetros da ferramenta
• serviços downstream não confiáveis

Os tokens de acesso devem ter curta duração, ser armazenados com segurança, ser vinculados ao público-alvo, ser rotacionados quando apropriado e enviados somente por meio de cabeçalhos de autorização em canais seguros.

6. Ataques de um deputado confuso

Um ataque de "disputa de privilégios" ocorre quando um serviço com mais privilégios executa uma ação para um solicitante com menos privilégios sem verificar adequadamente a autoridade do solicitante.

Por exemplo, um proxy MCP pode possuir credenciais para um sistema de terceiros. Se ele verificar apenas suas próprias permissões em vez da autoridade do usuário que iniciou o ataque, um invasor pode convencê-lo a recuperar ou modificar informações às quais não teria acesso direto.

As medidas de mitigação incluem:

• consentimento por cliente
• Validação exata do URI de redirecionamento
• validação de estado
• verificações de audiência de tokens
• credenciais downstream separadas
• verificação da autoridade do usuário iniciador

7. Servidores MCP maliciosos ou comprometidos

Um servidor MCP pode ser intencionalmente malicioso, comprometido após a implantação ou enfraquecido por uma dependência vulnerável.

Um servidor malicioso poderia:

• retornar contexto envenenado
• deturpar o comportamento da ferramenta
• coletar sugestões ou informações sensíveis
• dados exfiltrados
• solicitar escopos excessivos
• alterar resultados da ferramenta

As organizações devem manter um inventário de servidores aprovados e avaliar a identidade do editor, a propriedade, o código-fonte, as dependências, as permissões, o armazenamento de credenciais, o comportamento da rede, o registro de logs e os processos de atualização.

8. Riscos do servidor local e da cadeia de suprimentos

Os servidores MCP locais podem ser instalados por meio de gerenciadores de pacotes, arquivos de configuração, repositórios de código-fonte ou fluxos de trabalho de instalação com um clique.

Como são executados na máquina do usuário, um pacote malicioso ou um comando de inicialização pode herdar os privilégios locais do cliente MCP.

Os riscos potenciais incluem:

• execução de código arbitrário
• roubo de credenciais e segredos
• acesso não autorizado ao sistema de arquivos
• compromisso de dependência
• exfiltração de dados
• acesso persistente ao ponto de extremidade

As organizações devem verificar os editores, inspecionar os comandos de instalação, fixar as versões aprovadas, analisar as dependências, exigir consentimento explícito e isolar novos servidores locais em um ambiente controlado (sandbox) com acesso mínimo a arquivos, credenciais e rede.

9. Supervisão Humana Insuficiente

Nem toda chamada de ferramenta requer aprovação manual, mas operações de alto impacto não devem ser executadas apenas porque um modelo prevê que elas são apropriadas.

A aprovação humana ou política deve ser considerada para:

• exclusão de dados
• alteração de permissões
• transferência de registros confidenciais
• executando código de produção
• realizar transações financeiras
• modificação de infraestrutura crítica

Os requisitos de aprovação devem ser baseados no risco e no impacto. As organizações podem usar Gestão de riscos de IA Identificar quais sistemas e ações exigem uma supervisão mais rigorosa.

10. Registro incompleto e auditabilidade

Os agentes podem acionar diversas ferramentas em rápida sucessão. Sem telemetria detalhada, as equipes de segurança podem não conseguir reconstruir:

• Qual usuário iniciou uma solicitação?
• Qual agente e identidade atuaram?
• Que estímulo influenciou a ação?
• quais recursos foram recuperados
• Qual ferramenta foi selecionada?
• Quais parâmetros foram submetidos?
• Quais mudanças ocorreram nos sistemas subsequentes?

Os registros devem preservar toda a cadeia de atividades, evitando o armazenamento desnecessário de credenciais, segredos e conteúdo sensível.

Riscos e medidas de mitigação de segurança do MCP

Melhores práticas de segurança MCP

Exigir autenticação e autorização fortes

Os servidores MCP remotos devem autenticar cada conexão e validar se os tokens foram emitidos especificamente para o servidor que os recebeu.

Para autorização baseada em HTTP, utilize:

• tokens de acesso vinculados ao público
• cabeçalhos de autorização em vez de parâmetros de consulta
• PKCE para proteção de código de autorização
• HTTPS para endpoints de autorização
• URIs de redirecionamento validadas
• armazenamento seguro de tokens
• tempos de vida curtos para os tokens, quando apropriado.

A autorização permanece opcional no nível do protocolo, pois implantações locais ou com recursos limitados podem usar outros modelos de segurança. Para servidores em rede que acessam sistemas corporativos, a autenticação e autorização robustas devem ser consideradas obrigatórias.

Eliminar a passagem de tokens

Não encaminhe um token recebido de um cliente MCP diretamente para uma API subsequente.

O servidor MCP deve validar o token destinado a si próprio e autenticar-se separadamente no serviço subsequente usando uma credencial emitida corretamente. Isso preserva os limites de público-alvo, o consentimento do usuário, os limites de taxa, a validação de solicitações, a auditabilidade e as políticas específicas do serviço.

Aplique o princípio do menor privilégio em todos os lugares.

Menor privilégio Deve ser aplicado a:

• usuários humanos
• Agentes de IA
• Clientes e servidores MCP
• contas de serviço
• ferramentas
• APIs downstream

Separe as funcionalidades de leitura das ferramentas que modificam os dados. Restrinja as ferramentas a recursos, ações, ambientes e períodos de tempo específicos.

Revisar regularmente permissões herdadas e remova acessos obsoletos ou desnecessários.

Validar ferramentas e exigir aprovação baseada em risco.

Os servidores devem validar cada entrada de acordo com um esquema rigoroso e exigir autorização antes da execução.

Os clientes devem:

• Verificar definições de ferramentas e editores
• Monitorar descrições e esquemas para alterações
• Exibir entradas sensíveis antes da execução.
• higienizar e validar resultados
• Defina tempos limite e limites de recursos.
• uso da ferramenta de registro

Ações de alto risco também podem exigir confirmação do usuário, aprovação do gerente, avaliação de políticas, autorização por duas pessoas ou autenticação de dois fatores.

Criar novos servidores em sandbox e proteger sessões.

Teste componentes MCP novos ou não confiáveis em ambientes isolados com restrições:

• conectividade de rede
• acesso ao sistema de arquivos
• variáveis ambientais
• credenciais
• ferramentas de downstream
• dados de produção

Para servidores HTTP locais, vincule-se ao localhost e valide os cabeçalhos de origem.

Os servidores devem autenticar todas as solicitações de entrada e não devem tratar um identificador de sessão como prova de identidade. Gere identificadores imprevisíveis, associe as sessões a usuários autenticados, expire-as adequadamente e proteja-se contra ataques de repetição ou injeção de eventos.

Proteja os dados sensíveis antes de expor o contexto.

Antes de disponibilizar o contexto empresarial por meio do MCP, é importante compreender:

• Que dados existem?
• onde residem dados sensíveis
• quais recursos o expõem
• quais agentes podem recuperá-lo
• se o acesso é necessário
• como a informação é utilizada após a sua recuperação

Descoberta e classificação de dados Fornecer o contexto necessário para restringir o acesso de acordo com a sensibilidade, a regulamentação, a propriedade e a finalidade comercial.

Monitorar a atividade de tempo de execução do MCP

Mantenha um inventário de hosts, clientes, servidores, ferramentas, recursos, identidades, credenciais e permissões.

Monitorar para:

• correntes de ferramentas incomuns
• acesso inesperado a dados sensíveis
• servidores novos ou não aprovados
• Descrições de ferramentas alteradas
• escalonamento de privilégios
• falhas repetidas de autorização
• atividade fora do propósito pretendido do agente

Elabore um Plano de Resposta a Incidentes do MCP

Os procedimentos de resposta a incidentes devem abranger:

• revogar credenciais de servidor e agente
• desativando ferramentas comprometidas
• desconectando servidores maliciosos
• isolando os hospedeiros afetados
• Revisando o histórico de solicitações e chamadas de ferramentas
• identificação de dados expostos
• restaurando contexto confiável
• documentando a remediação

Como a BigID protege o acesso MCP corporativo

O servidor MCP da BigID oferece aos agentes de IA acesso controlado ao contexto e à inteligência dos dados corporativos.

Em vez de expor dados empresariais brutos irrestritos, a BigID fornece aos agentes autorizados metadados e insights, tais como:

• classificações de dados
• sensibilidade
• linhagem
• propriedade
• risco
• retenção
• contexto de conformidade
• recomendações de remediação

O BigID utiliza autenticação baseada em token e controle de acesso baseado em funções, de modo que os agentes recebem apenas os metadados e insights disponíveis para o usuário autenticado. Isso amplia os controles de segurança e governança existentes para fluxos de trabalho habilitados para MCP.

Com o BigID MCP Server, as organizações podem:

• Conectar agentes de IA à inteligência de dados empresariais governadas.
• consultar o contexto dos dados usando linguagem natural
• descobrir riscos de dados sensíveis
• Gerar relatórios e painéis contextuais
• Estender políticas de dados aos fluxos de trabalho de IA
• preservar restrições de acesso baseadas em funções
• Apoiar operações auditáveis assistidas por IA

Através BigID sem cabeça, Os fluxos de trabalho de IA aprovados também podem invocar recursos de descoberta, classificação, controle de acesso, rotulagem, redação e correção controlados por meio de APIs e endpoints MCP, mantendo-se sujeitos aos controles RBAC e de auditoria.

O Resultado Final

O MCP pode tornar as aplicações de IA mais úteis, conectando-as a ferramentas e dados empresariais.

Também pode dar aos sistemas de IA acesso a recursos sensíveis e a ações consequentes.

Garantir a segurança do MCP exige mais do que criptografar a conexão. As organizações devem governar os servidores, as ferramentas, as identidades, as permissões, os tokens, os dados, os avisos e o comportamento autônomo em torno de cada integração.

Os programas de segurança MCP mais robustos combinam:

• Inventários de servidores e ferramentas aprovados
• autenticação e autorização fortes
• credenciais vinculadas ao público
• acesso com privilégios mínimos
• proteção imediata e contextual
• supervisão humana
• monitoramento contínuo do tempo de execução
• aplicação de políticas orientada por dados

O MCP deve fornecer aos agentes de IA o contexto de que precisam, e não acesso irrestrito a tudo o que a empresa possui.

Perguntas frequentes sobre segurança do MCP

O que é segurança MCP?

A segurança MCP é a prática de proteger os hosts, clientes, servidores, ferramentas, recursos, credenciais, dados, sessões e ações de agentes envolvidos nas integrações do Protocolo de Contexto de Modelo (MCP).

O Protocolo de Contexto do Modelo é seguro?

O MCP fornece um protocolo de conexão padronizado, mas não garante segurança por si só. Implantações seguras exigem autenticação, autorização, princípio do menor privilégio, validação de ferramentas, controles de dados, monitoramento e consentimento do usuário.

Quais são os maiores riscos de segurança do MCP?

Os principais riscos incluem injeção imediata, envenenamento de contexto, permissões excessivas do agente, servidores maliciosos, envenenamento de ferramentas, exposição de tokens, passagem de tokens, ataques de delegados confusos, comprometimento da cadeia de suprimentos e monitoramento insuficiente.

O que é o token passthrough no MCP?

A passagem de token ocorre quando um servidor MCP aceita um token de cliente e encaminha o mesmo token para um serviço subsequente. A especificação MCP proíbe esse padrão porque ele enfraquece a validação de público-alvo, os controles de segurança, o consentimento e a auditabilidade.

Como o princípio do menor privilégio melhora a segurança do MCP?

O princípio do menor privilégio limita cada usuário, agente, servidor e ferramenta aos dados e ações necessários para uma tarefa aprovada. Isso reduz o impacto potencial de credenciais comprometidas, solicitações maliciosas e ações autônomas não intencionais.

Como as organizações podem prevenir a injeção imediata de MCP?

As organizações podem reduzir o risco de injeção de código indesejado tratando o conteúdo externo como não confiável, separando as instruções dos dados, inspecionando o contexto recuperado, restringindo o acesso às ferramentas, validando as saídas e exigindo aprovação para ações sensíveis.

O que é envenenamento por ferramentas em MCP?

O envenenamento de ferramentas ocorre quando um servidor malicioso ou comprometido fornece nomes, descrições, parâmetros, anotações ou comportamentos enganosos para ferramentas, com o objetivo de manipular um aplicativo de IA para que ele invoque uma funcionalidade insegura.

O MCP é seguro para uso empresarial?

O MCP pode ser usado com segurança em ambientes corporativos quando as organizações aprovam e inventariam servidores, aplicam controles de identidade rigorosos, restringem permissões de ferramentas, protegem dados confidenciais, validam credenciais, monitoram a atividade em tempo de execução e exigem supervisão para ações consequentes.

Qual a diferença entre a segurança MCP e a segurança API?

A segurança tradicional de APIs concentra-se principalmente em endpoints, autenticação, autorização, validação de entrada e proteção de tráfego. A segurança MCP também deve abordar a seleção de ferramentas orientada a modelos, contexto recuperado não confiável, injeção de prompts, cadeias de ações autônomas, descoberta dinâmica de capacidades e identidades de agentes.

Como o BigID oferece suporte à segurança MCP?

O BigID fornece aos agentes de IA acesso controlado ao contexto e aos metadados dos dados corporativos, ao mesmo tempo que aplica autenticação baseada em tokens, controles de acesso baseados em funções, inteligência de sensibilidade, controles de políticas e permissões de governança de dados existentes.