Estabeleça uma perspectiva de segurança para cada chamada de ferramenta antes de adicionar mais ferramentas. O Model Context Protocol (MCP) é um protocolo que permite a uma aplicação de IA descobrir e chamar ferramentas externas e serviços de dados. Um agente que utiliza ferramentas é uma aplicação de IA que seleciona uma ferramenta e fornece seus argumentos para concluir uma tarefa. Essa conexão aumenta a utilidade, mas também transforma descrições de ferramentas, argumentos de chamada, credenciais e dados retornados em componentes de um sistema relevantes para a segurança.
Para uma equipe de desenvolvimento, a questão não é se um servidor MCP é remoto ou local. A questão é qual identidade, permissão e evidência se aplicam quando o agente aciona uma ferramenta. O curso ajudará você a gerenciar essa fronteira sem perder a auditabilidade ou o controle.
Na Northbridge Health, o CareOps Agent pode utilizar JiraMCP, DriveMCP e um KubeAdminMCP local. Uma instrução maliciosa pode ser inserida por meio de metadados que parecem informações comuns da ferramenta, influenciar a seleção do agente e alcançar um serviço upstream utilizando as credenciais do servidor MCP. O resultado visível pode ser uma recuperação de arquivo comum, enquanto o caminho de autorização subjacente excede o nível de acesso do engenheiro que fez a solicitação. Rastreie onde a solicitação ganha autoridade e onde a evidência desaparece:
Simulação — cadeia de ataque:
Metadados de ferramenta são a descrição, o esquema de parâmetros e as anotações que explicam uma ferramenta ao agente. Como o agente lê esse material como contexto, um invasor que o altere pode tentar direcionar ações em servidores conectados. A saída da ferramenta e o texto copiado de um chamado (ticket) apresentam o mesmo risco ao entrarem no contexto do agente.
Um servidor com credenciais de serviço abrangentes cria um segundo problema. O serviço a montante (upstream) pode identificar o servidor em vez do engenheiro que solicitou a ação. Trata-se de um caso de representante confuso (confused deputy), no qual um componente utiliza sua própria autoridade para uma solicitação que deveria ter sido limitada pela autoridade de quem a originou. O registro do incidente demonstra como essas vulnerabilidades se combinam:
Simulado — nota de incidente interno: