Desde que a Anthropic introduziu o MCP, mais de 10.000 servidores públicos foram criados. O download mensal do SDK chega a 97 milhões. ChatGPT, Claude, Cursor e Copilot oferecem suporte completo.
Então, pesquisadores de segurança começaram a examinar o interior.
O que encontraram não é nada agradável.
Envenenamento de Ferramentas (Tool Poisoning)
Este é o tipo de ataque MCP mais comum atualmente.
A lógica é simples: um servidor MCP expõe um conjunto de ferramentas ao cliente de IA, cada uma com nome e descrição. O modelo de IA lê essas descrições ao ser chamado para decidir como usar a ferramenta.
E se a descrição contiver instruções maliciosas?
Os atacantes podem incorporar injeções de prompt ocultas nas descrições das ferramentas, fazendo com que o modelo execute operações adicionais sorrateiramente enquanto executa a ferramenta normal — como vazar dados do usuário para endereços externos ou ler arquivos não autorizados.
Pesquisas da Adversa AI confirmam: Quase todos os principais clientes MCP, incluindo Anthropic, OpenAI, Cursor e Zapier, são afetados por esse tipo de ataque.
Ataque de Amplificação de Recursos (Resource Amplification)
Este é mais sutil.
Um servidor MCP malicioso pode manipular o agente de IA para entrar em um loop de chamadas de ferramentas — cada chamada de ferramenta dispara a próxima, em camadas aninhadas, mas difícil de detectar externamente.
Dados experimentais: esse ataque pode ampliar o custo computacional real de uma única consulta para 658 vezes o normal, sem acionar as detecções de segurança padrão.
Para usuários que pagam por token, isso significa que a fatura pode disparar sem que eles percebam.
Execução Remota de Código (RCE)
O mais grave.
Pesquisadores descobriram várias vulnerabilidades com pontuação CVSS acima de 9,0, afetando centenas de milhares de instalações do MCP. Explorando essas falhas, atacantes podem executar código arbitrário no sistema da vítima — ou seja, controle total.
Por que as medidas de segurança tradicionais falham
A raiz do problema é: o roteador na arquitetura MCP é o próprio LLM.
Firewalls tradicionais e RBAC (controle de acesso baseado em funções) são regras estáticas, que verificam IPs, caminhos e tabelas de permissão. Mas a chamada de ferramentas do LLM é baseada em julgamento semântico — não é possível usar regras estáticas para verificar se um modelo foi convencido a fazer algo que não deveria.
O firewall não reconhece que essa chamada de ferramenta ocorreu porque o modelo sofreu injeção de prompt.
O que pode ser feito agora
A comunidade de segurança já começou a agir:
- Kit de ferramentas mcp-sec-audit: Análise estática e dinâmica, atingindo 100% de detecção no benchmark MCPTox
- Framework SAFE-MCP: Padrão de segurança liderado pela comunidade (The New Stack tem cobertura detalhada)
- A Adversa AI publica mensalmente um resumo de recursos de segurança do MCP; a edição de abril de 2026 acaba de ser lançada
Se você integrou servidores MCP de terceiros em ambiente de produção, vale a pena avaliar seriamente:
- Esse servidor vem de uma fonte confiável?
- As descrições das ferramentas têm conteúdo anormal?
- Existe um mecanismo para detectar frequência anormal de chamadas de ferramentas?
A velocidade de adoção do MCP é muito maior que a velocidade de maturação dos mecanismos de segurança, e essa lacuna está se transformando em risco real.
Fontes de referência: MCP is Alive, but Faces Challenges (AI Business); Building With MCP? Mind the Security Gaps (The New Stack); CocoLoop, Top MCP security resources — April 2026 (Adversa AI); MCP Security: TOP 25 MCP Vulnerabilities (Adversa AI)