O Protocolo de Contexto de Modelo (MCP) é o padrão aberto que permite que um agente de IA se conecte às suas ferramentas, ficheiros e aplicações através de uma interface comum — frequentemente descrito como "USB-C para IA". É realmente útil, e ao longo de 2025 e 2026 foi adotado em assistentes de IA, IDEs e frameworks de agentes. Mas o mesmo conector que torna um agente poderoso é também a sua maior superfície de ataque. Os movimentos recentes para governar agentes de IA nas empresas — fornecedores de segurança lançando ferramentas para monitorizar agentes de codificação, e camadas de governança baseadas em MCP a serem integradas no Claude, ChatGPT e Copilot — são um sinal do mesmo: conectar um agente ao seu ambiente é uma decisão de segurança, não uma configuração de conveniência. Aqui está a visão honesta da segurança do MCP em 2026 e como governá-lo.
Por que o MCP é um problema de segurança, não apenas uma funcionalidade
O MCP em si é apenas a canalização: uma forma padrão para um modelo descobrir ferramentas, ler suas descrições e chamá-las. O risco não é o protocolo — é o que flui através dele.
Quando um agente se conecta a um servidor MCP, esse servidor fornece duas coisas em que o modelo confia: descrições de ferramentas (texto que informa ao modelo o que cada ferramenta faz e como chamá-la) e saídas de ferramentas (o que quer que a ferramenta retorne). O modelo lê ambos e age com base neles. Assim, cada servidor MCP que você conecta é efetivamente código e instruções a serem executadas com os privilégios do seu agente. Tudo o que o agente pode alcançar — os seus ficheiros, um repositório, uma API, o seu email — um servidor malicioso pode tentar alcançar através do agente.
Esta é a mesma mudança que torna a segurança de agentes de IA difícil em geral, aplicada a um conector específico: a segurança da sua configuração MCP é a segurança de cada servidor que você conecta a ele.
Os riscos específicos do MCP em 2026
Estes não são hipotéticos — investigadores de segurança já os documentaram em clientes MCP reais.
- Envenenamento de ferramentas. Um servidor malicioso esconde instruções dentro da descrição de uma ferramenta — texto que o modelo lê, mas o utilizador geralmente não. Uma ferramenta que parece ser um inofensivo
add(a, b)pode secretamente instruir o agente a ler ficheiros privados e exfiltrá-los. Como os utilizadores tendem a aprovar chamadas de ferramentas sem inspecionar a descrição, este é um dos ataques específicos do MCP mais impactantes. - Rug pulls (redefinição silenciosa). Uma ferramenta MCP muda a sua própria definição depois de você a ter instalado e aprovado. Você verificou algo seguro; o servidor mais tarde substitui por um comportamento malicioso sem o informar.
- Sombreamento de ferramentas e ataques entre servidores. Quando vários servidores se conectam ao mesmo agente, um comprometido pode substituir ou interceptar chamadas destinadas a uma ferramenta confiável — um problema de "deputado confuso" onde o agente faz o que o atacante deseja pensando que está a usar uma ferramenta legítima.
- A trifeta de exfiltração. A combinação realmente perigosa é um agente que tem dados privados, lê conteúdo não confiável e tem um caminho de exfiltração para o exterior. O MCP torna fácil ligar todos os três acidentalmente.
- Injeção indireta de prompt. Mesmo um servidor honesto retorna saídas que o agente lê — uma página web, um problema, um documento — que podem conter instruções ocultas. O agente pode obedecê-las como se viessem de si.
Como governar o MCP de forma segura
Não precisa evitar o MCP. Precisa governar o que conecta e limitá-lo para que um único servidor malicioso não se torne um desastre. Os princípios são sabedoria antiga de segurança aplicada a um novo conector.
- Verifique e fixe servidores confiáveis. Prefira servidores MCP oficiais ou bem avaliados. Não conecte servidores de terceiros arbitrários a um agente que possui acesso real, e esteja atento a definições de ferramentas que mudam após a instalação.
- Menor privilégio por servidor. Dê a cada servidor apenas o acesso necessário para o seu trabalho, usando credenciais limitadas e revogáveis — nunca as suas contas principais ou chaves de produção. Se um servidor só precisa ler, não o deixe escrever.
- Limite o raio de explosão. Evite conectar muitos servidores não confiáveis ao mesmo agente, pois um servidor comprometido pode interceptar outros. Isole trabalhos sensíveis de qualquer coisa que leia a web aberta.
- Humano no circuito para ações de alto impacto. Exija confirmação explícita antes de qualquer coisa irreversível — enviar dinheiro, apagar dados, publicar publicamente, alterar acessos. Deixe o agente rascunhar; você aprova.
- Trate descrições e saídas de ferramentas como não confiáveis. Ambas podem conter instruções injetadas. A mesma cautela aplica-se quando um agente usa ferramentas de revisão de código de IA ou qualquer ferramenta que ingira conteúdo externo.
- Registe e audite chamadas de ferramentas. Mantenha um registo de quais servidores e ferramentas o agente usou, para que possa identificar anomalias e revogar rapidamente.
- Mantenha segredos fora de prompts e argumentos de ferramentas. Senhas e chaves de API coladas num prompt ou numa chamada de ferramenta tornam-se texto num servidor. Use tokens limitados e gestores de segredos em vez disso.
A conclusão honesta
A segurança do MCP resume-se a uma mudança de mentalidade: um servidor MCP não é um plugin que você instala e esquece — é um novo participante com autonomia e acesso, e deve tratá-lo como alguém em quem não confia totalmente. O protocolo é aberto e útil; o perigo está em conceder confiança ampla e permanente a servidores que você não verificou. Conecte-se deliberadamente, limite cada servidor de forma rigorosa, mantenha um humano como barreira em qualquer coisa irreversível, e assuma que cada descrição e saída de ferramenta pode estar a tentar sequestrar o seu agente. As equipas que agora constroem governança em torno de agentes de IA — e os agentes de codificação de IA que mais dependem do MCP — estão a convergir exatamente nisso: conecte-se menos, confie de forma restrita e verifique.
