O Model Context Protocol (MCP) está rapidamente se tornando uma camada fundamental para a interação entre agentes de IA e sistemas empresariais. E isso é empolgante! O MCP permite que a IA se conecte a dados reais, ferramentas reais e fluxos de trabalho reais — sistemas de CRM, plataformas de gestão de chamados, aplicativos internos e APIs — tudo em busca de uma automação mais inteligente e decisões mais rápidas. Mas há um aspecto sobre o qual não falamos o suficiente: o MCP também cria uma superfície de ataque totalmente nova. Uma superfície que a maioria das organizações já está expondo… sem perceber. Toda semana, converso com líderes de segurança, TI e produtos que estão correndo para adotar a IA. Muitos já usam o MCP direta ou indiretamente, mas pouquíssimos conseguem responder com segurança a perguntas básicas como:
- Onde o MCP está sendo usado atualmente?
- Quais agentes e ferramentas estão conectados?
- Quais dados e sistemas são acessados por essas conexões?
Essa falta de visibilidade é apenas a ponta do iceberg dos riscos, enquanto o navio MCP segue a todo vapor. Vamos analisar os oito principais riscos de segurança do MCP que toda organização que usa IA precisa compreender antes que eles se transformem em incidentes reais.
1. Falta de visibilidade sobre o uso do MCP
O risco mais comum relacionado ao MCP também é o mais simples: as organizações não sabem onde o MCP está sendo usado. Muitas vezes, as equipes de segurança não têm um inventário completo de:
- Agentes de IA que usam MCP
- Servidores MCP sendo adotados localmente ou implantados remotamente
- Os sistemas corporativos que agentes ou clientes de IA agora podem acessar, ou as identidades que estão utilizando
Sem visibilidade, não há como avaliar a exposição, aplicar políticas ou responder a incidentes. O MCP acaba interagindo com bancos de dados, APIs e ferramentas internas sem estar sujeito à mesma governança que esses recursos. Não é possível proteger o que não se pode ver.
2. Acesso não controlado a servidores MCP remotos
O MCP facilita a conexão de agentes a servidores remotos vinculados a plataformas SaaS empresariais críticas, como sistemas de CRM, ERP ou plataformas de dados. No entanto, quando essas conexões não são gerenciadas de forma centralizada, elas podem ser estabelecidas sem aprovação ou supervisão. Os agentes e os usuários por trás deles podem obter acesso a sistemas confidenciais sem que as equipes de segurança saibam que isso está acontecendo. Essa falta de controle amplia drasticamente a superfície de ataque e aumenta o risco de acesso não autorizado ou não intencional.
3. Servidores MCP locais arriscados ou não aprovados
O MCP não existe apenas em infraestruturas centralizadas. Desenvolvedores e usuários avançados podem (e de fato fazem isso!) configurar servidores MCP locais em suas próprias máquinas para realizar experimentos ou trabalhar com mais agilidade. Embora essa flexibilidade seja parte do atrativo do MCP, ela também traz riscos significativos. Os servidores MCP locais frequentemente:
- Contornam as políticas de segurança corporativas
- Operar sem monitoramento ou registro de logs
- Expor dados confidenciais fora de ambientes aprovados
Esses “servidores” acabam se tornando uma infraestrutura paralela, invisível para as equipes de segurança, mas plenamente capaz de acessar sistemas corporativos. Tentar impedir o uso local do MCP significa impedir que os desenvolvedores executem qualquer código (e paralisar sua empresa!). E eles não são usados apenas por desenvolvedores — a possibilidade de adicionar um servidor MCP como uma “integração” com apenas um clique já é um recurso nativo na maioria dos clientes de IA, fazendo com que o MCP esteja presente desde a linha de comando até a alta direção.
4. Ações destrutivas por meio de servidores MCP
Diferentemente das integrações passivas, as chamadas MCP podem desencadear ações, inclusive não intencionais, pois o MCP não é uma integração somente para leitura. As solicitações MCP podem desencadear ações reais, inclusive destrutivas. Sem as devidas proteções, o MCP pode ser usado para excluir dados, alterar configurações, implantar cargas de trabalho maliciosas, explorar APIs ou acionar fluxos de trabalho de maneiras não intencionais. Esse não é um risco hipotético. O MCP é interativo por natureza, o que significa que erros (ou abusos) podem ter consequências operacionais imediatas.
5. Autenticação persistente do usuário final
Muitos clientes de IA autenticam solicitações MCP usando a identidade do usuário final. Isso significa que o agente herda, na prática, os direitos de acesso do usuário. O problema é que esses privilégios foram concebidos para uso por uma pessoa, e não para acesso por sistemas não determinísticos. Além de não haver supervisão individual, as credenciais concedidas podem permanecer válidas após o término da sessão original. Se não for rigorosamente controlada, a atividade do MCP poderá continuar operando com permissões elevadas muito tempo depois que o usuário encerrar a sessão, aumentando o risco de uso indevido de credenciais, abuso de privilégios e acesso não autorizado.
6. Ataques à cadeia de suprimentos do MCP
O MCP não existe isoladamente. Ele depende de uma rede de ferramentas, dependências, servidores e componentes de terceiros. Se qualquer parte dessa cadeia for comprometida, os invasores poderão manipular agentes de IA, interceptar solicitações ou exfiltrar dados. Esses ataques exploram relações de confiança que as organizações consideram seguras e são extremamente difíceis de detectar sem visibilidade específica do MCP.
7. Exfiltração de dados para serviços de IA de terceiros
Nem todos os endpoints MCP são iguais. Ferramentas não verificadas ou servidores MCP externos podem exportar silenciosamente prompts corporativos, contexto ou dados confidenciais para serviços de IA de terceiros ou agentes mal-intencionados. Como esse tráfego muitas vezes parece uma atividade MCP legítima, ele pode passar despercebido pelos controles de segurança tradicionais. Como resultado, dados confidenciais saem da organização sem serem detectados.
8. Propriedade intelectual corporativa sob licenças pessoais
Um dos riscos que mais crescem e que temos observado é o uso de agentes MCP configurados com contas pessoais de IA. Quando os funcionários usam versões para consumidores do ChatGPT, Claude ou outras licenças pessoais para acessar dados corporativos por meio do MCP, esses dados podem acabar em ambientes que não estão em conformidade. Isso coloca a propriedade intelectual da empresa, os dados regulamentados e a postura de conformidade em sério risco, muitas vezes sem qualquer intenção maliciosa.
Como é uma governança eficaz de MCP
Compreender esses riscos é apenas metade da batalha. Para gerenciar o MCP com segurança de fato, as organizações precisam de controles específicos para a forma como o MCP opera, e não apenas de políticas tradicionais de firewall e IAM.
A adoção e a habilitação bem-sucedidas do MCP devem:
- Aplicar políticas de acesso ao MCP e bloquear, em tempo real, servidores e ferramentas não aprovados, tanto em servidores locais quanto remotos, em qualquer cliente ou agente de IA
- Detecte e interrompa solicitações MCP arriscadas ou destrutivas antes que causem danos
- Proteja-se contra clientes internos mal-intencionados e ataques à cadeia de suprimentos do MCP
- Mantenha visibilidade contínua de todas as atividades de MCP
Quando esses controles estão implementados, as equipes de segurança ganham a confiança necessária para apoiar a adoção da IA — sem desacelerar a inovação. Foi exatamente para preencher essa lacuna que o F5 Workforce AI Security, anteriormente chamado SurepathAI, foi desenvolvido. Ajudamos as organizações a adotar o MCP com segurança, oferecendo visibilidade e controle desde o primeiro dia — para que as equipes possam avançar rapidamente e permanecer protegidas.
Se o MCP está nos seus planos (ou já faz parte do seu ambiente), fale com a gente! Agende uma demonstração.
Sobre o autor
Publicações relacionadas no blog
IA agêntica em cibersegurança: promessas e riscos
Saiba por que o uso de IA agêntica na cibersegurança é essencial para combater ameaças impulsionadas por IA e por que os agentes também criam novos riscos para as empresas.
Como os clientes da F5 no setor financeiro lidam com a soberania digital sem desacelerar a inovação
Como é a soberania digital na prática? Dois projetos recentes da F5 com clientes mostram como diferentes empresas estão enfrentando esses desafios.
Soberania operacional: construindo resiliência em um mundo imprevisível
Para muitas organizações, a questão já não se resume apenas a controlar os dados. Trata-se de manter a capacidade de operar, adaptar-se e se recuperar à medida que as leis e as condições evoluem.
Segurança de IA com evidências: o que levaremos ao Gartner SRM
Antes de sua sessão no Gartner SRM, o vice-presidente sênior de Marketing de Produtos da F5 explica como a F5 ajuda as organizações a proteger a IA em três etapas práticas.
Gestão de riscos de IA: como as proteções podem ajudar a mitigá-los
O risco da IA é impulsionado por comportamentos probabilísticos e pela explicabilidade limitada, não apenas por falhas de segurança. Uma gestão eficaz exige controle operacional contínuo.
Lei de IA do Colorado (SB 205): o que as empresas precisam saber antes de 2026
A SB 205 do Colorado, a lei pioneira do estado sobre inteligência artificial, foi sancionada pelo governador Jared Polis em 17 de maio de 2024. O projeto de lei estabelece requisitos para que as empresas que utilizam IA implementem controles destinados a proteger os cidadãos do Colorado.