MCP e agentes de IA: falha permite ataque em cadeia

Pesquisadores demonstraram que o protocolo MCP (Model Context Protocol), usado para conectar agentes de IA, tem falhas de confiança que permitem espalhar instruções maliciosas de um agente para outro dentro da rede de uma empresa. A técnica foi batizada de “protocol pivoting” e já levou a correções em ferramentas do Google e da Rapid7.

Segundo reportagem da Ars Technica, nos últimos cinco meses o Google e outras quatro organizações reconheceram vulnerabilidades em que um agente comprometido repassa comandos nocivos a outros agentes internos, que obedecem porque confiam no primeiro.

O que é o MCP e por que ele virou alvo

O MCP é um padrão que permite a aplicativos e agentes de IA se comunicarem entre si dentro de uma rede interna. Servidores MCP guardam credenciais de cada agente, e os agentes foram projetados para confiar uns nos outros. Segundo a Ars Technica, isso faz com que uma exploração que seria rejeitada pelo modelo de linguagem funcione quando passa pela cadeia de agentes.

Muitos agentes de propósito específico, como os de tradução ou análise de dados, têm pouca ou nenhuma proteção contra prompt injection. O ataque não mira o LLM, mira o agente intermediário.

Protocol pivoting: como o ataque funciona

O pesquisador independente Syed Anas Mohiuddin testou agentes de organizações como Google, JP Morgan Chase, Weaviate, Rapid7, a direção digital do governo francês e o governo federal dos EUA, segundo a reportagem. Ele chama a classe de ataques de “protocol pivoting”: o app usa o MCP para atribuir uma tarefa a um agente, e esse agente repassa instruções maliciosas a outro por um protocolo diferente, como o A2A, do Google, ou o Agent Network Protocol.

Nessa tradução entre protocolos, a confiança e a autorização acabam se perdendo. Em muitos casos, prompts bem construídos levam a um server-side request forgery (SSRF), falha que faz um servidor web enviar requisições não autorizadas.

Os casos reportados: Google e Rapid7

Dois casos foram detalhados pela publicação:

• Google: falha com nota 8 de 10 no MCP Toolbox for Databases, cujo cliente HTTP não tinha política de redirecionamento nem validava endereços IP de destino. A correção aplicou listas de IPs permitidos e bloqueados.
• Rapid7: a CVE-2026-97228 teve nota apenas 2,7 e foi corrigida no mês passado.

Douglas McKee, da Rapid7, resumiu o problema à publicação: cada protocolo foi pensado como se vivesse isolado, e cada um confere a própria porta da frente enquanto ninguém vigia o corredor entre eles.

O que isso significa para empresas brasileiras

Quem está adotando agentes de IA em atendimento, financeiro ou TI deve tratar cada agente como um usuário com privilégios, e não como uma extensão confiável do sistema. Na prática, isso significa mapear quais agentes conversam entre si, limitar as credenciais guardadas em servidores MCP e registrar o que cada agente faz.

Também vale rever a base de infraestrutura: segmentação de rede, servidores atualizados e firewalls bem configurados reduzem o alcance de um agente comprometido, mesmo quando a falha está no protocolo.

Checklist rápido de proteção

• Inventariar todos os agentes e servidores MCP em uso.
• Aplicar o princípio do menor privilégio às credenciais dos agentes.
• Validar destinos de requisições e bloquear acesso a endpoints internos desnecessários.
• Segmentar a rede e monitorar o tráfego entre agentes.
• Acompanhar correções de fornecedores, como as divulgadas pela Ars Technica.

Esses cuidados não eliminam o risco, mas diminuem a superfície de ataque enquanto o ecossistema amadurece.

Perguntas frequentes

O que é MCP em inteligência artificial?

É o Model Context Protocol, um padrão para que apps e agentes de IA se comuniquem dentro de uma rede interna.

O que é protocol pivoting?

É um ataque em que um agente repassa instruções maliciosas a outro usando um protocolo diferente, explorando falhas de confiança entre eles.

Quais empresas tiveram falhas corrigidas?

A reportagem cita correções do Google e da Rapid7, entre organizações testadas pelo pesquisador.

Como uma empresa pode se proteger?

Limitando credenciais, segmentando a rede, validando destinos de requisições e monitorando a comunicação entre agentes.