Mcp

O Modelo Contexto de Protocolo (MCP) está se consolidando como uma ferramenta essencial para a integração de agentes de IA em ambientes corporativos. Ao permitir acesso estruturado a aplicações, APIs e dados, o MCP transforma modelos de linguagem em agentes autônomos que podem automatizar fluxos de trabalho empresariais. A adoção desses agentes, como Microsoft Copilot e Zendesk bots, está crescendo rapidamente, mas a governança e os controles necessários para gerenciá-los ainda estão em desenvolvimento. Um dos principais desafios é que esses agentes não se comportam como humanos, não passam por processos de RH e podem operar com identidades não gerenciadas, conhecidas como ‘dark matter’. Isso gera riscos significativos, pois esses agentes podem explorar acessos não monitorados e acumular permissões excessivas ao longo do tempo. Para mitigar esses riscos, especialistas recomendam que as empresas adotem princípios de governança que incluam a associação de agentes a operadores humanos, acesso dinâmico e consciente do contexto, e visibilidade das ações dos agentes. A implementação cuidadosa do MCP é crucial para garantir que esses agentes se tornem aliados confiáveis, em vez de riscos ocultos.

Pesquisadores de segurança descobriram uma vulnerabilidade crítica no Cursor, um editor de código popular impulsionado por IA, que permite a atacantes executar código JavaScript arbitrário através de servidores Model Context Protocol (MCP) maliciosos. A falha explora a falta de verificação de integridade nas funcionalidades específicas do Cursor, ao contrário dos controles de segurança mais robustos do VS Code. Ao registrar um servidor MCP local, os atacantes conseguem contornar as proteções embutidas e injetar JavaScript malicioso diretamente no DOM do navegador. O ataque pode roubar credenciais ao substituir páginas de login legítimas por interfaces de phishing, coletando informações do usuário sem que ele perceba. Essa vulnerabilidade não se limita ao roubo de credenciais, pois permite que os atacantes realizem qualquer ação que o usuário possa executar, escalando privilégios e modificando componentes do sistema. A situação é alarmante, pois os servidores MCP operam com permissões amplas, tornando-se alvos atrativos para ameaças. Os desenvolvedores devem revisar cuidadosamente todos os servidores MCP e extensões antes da instalação e implementar camadas adicionais de segurança. As organizações devem monitorar o uso de servidores MCP e considerar soluções empresariais que ofereçam proteção contra ataques à cadeia de suprimentos.

Pesquisadores de segurança da GitGuardian identificaram uma vulnerabilidade crítica de travessia de caminho na plataforma Smithery.ai, que hospeda servidores do Modelo de Protocolo de Contexto (MCP). Essa falha expôs mais de 3.000 servidores de IA e comprometeu milhares de chaves de API. A vulnerabilidade foi causada por um erro de configuração no processo de construção do servidor da Smithery, permitindo que atacantes especificassem locais arbitrários do sistema de arquivos como contexto de construção do Docker. Ao explorar essa falha, os pesquisadores conseguiram acessar arquivos sensíveis, incluindo credenciais de autenticação do Docker, que estavam severamente sobreprivilegiadas. Isso possibilitou a execução de código arbitrário em servidores comprometidos e a captura de tráfego de rede, expondo chaves de API e tokens de autenticação de milhares de clientes. A vulnerabilidade representa um cenário clássico de ataque à cadeia de suprimentos, onde a exploração de uma única plataforma confiável pode resultar em violações que afetam diversas organizações. A Smithery respondeu rapidamente à divulgação da vulnerabilidade, implementando correções em menos de 48 horas, sem evidências de exploração antes do patch.

Pesquisadores de cibersegurança revelaram uma vulnerabilidade crítica, identificada como CVE-2025-53967, no servidor Model Context Protocol (MCP) do Figma, que pode permitir a execução remota de código. Com uma pontuação CVSS de 7.5, a falha é um erro de injeção de comando causado pelo uso não sanitizado de entradas de usuários, possibilitando que atacantes enviem comandos arbitrários ao sistema. O problema reside na construção de comandos de linha de comando que utilizam diretamente entradas não validadas, o que pode levar à injeção de metacaracteres de shell. A exploração pode ocorrer quando um cliente MCP envia requisições ao servidor, permitindo que um ator malicioso execute comandos indesejados. A vulnerabilidade foi descoberta pela Imperva em julho de 2025 e corrigida na versão 0.6.3 do MCP, lançada em 29 de setembro de 2025. É recomendado evitar o uso de child_process.exec com entradas não confiáveis e optar por child_process.execFile para mitigar riscos. Este incidente destaca a necessidade de que as ferramentas de desenvolvimento impulsionadas por IA sejam acompanhadas de considerações de segurança adequadas.

Pesquisadores de cibersegurança identificaram a primeira instância de um servidor do Model Context Protocol (MCP) malicioso em uso, o que eleva os riscos na cadeia de suprimentos de software. O código malicioso foi inserido em um pacote npm chamado ‘postmark-mcp’, que imitava uma biblioteca legítima da Postmark Labs. A versão comprometida, 1.0.16, foi lançada em 17 de setembro de 2025, e desde então, o pacote tem enviado cópias de todos os e-mails enviados através do servidor MCP para um servidor pessoal do desenvolvedor. O pacote foi removido do npm, mas já havia sido baixado 1.643 vezes. O CTO da Koi Security, Idan Dardikman, destacou que a simplicidade do ataque, que consistia em uma única linha de código, revela a fragilidade do ecossistema de software aberto. Os desenvolvedores que utilizaram o pacote são aconselhados a removê-lo imediatamente e a revisar logs de e-mail para identificar possíveis vazamentos de informações. A situação ressalta a necessidade de medidas de segurança mais rigorosas em ambientes empresariais que utilizam soluções de código aberto.

Um servidor malicioso do Modelo de Protocolo de Contexto (MCP) foi descoberto, exfiltrando milhares de e-mails diariamente através de integrações com assistentes de IA. Este é o primeiro caso documentado de um ataque à cadeia de suprimentos visando o emergente ecossistema MCP. O pacote comprometido, postmark-mcp, foi baixado cerca de 1.500 vezes por semana e vinha furtando comunicações sensíveis desde a versão 1.0.16. Pesquisadores de segurança da Koi identificaram a porta dos fundos após mudanças comportamentais suspeitas no popular ferramenta de integração de e-mail. O código malicioso, que consiste em uma única linha, adiciona automaticamente uma cópia oculta (BCC) para “giftshop.club” em todos os e-mails processados pelo servidor MCP. O ataque destaca a evolução preocupante nas violações de segurança da cadeia de suprimentos, onde assistentes de IA operam com permissões amplas, criando relações de confiança cegas que ignoram controles de segurança convencionais. Estima-se que cerca de 300 organizações estejam afetadas, expondo entre 3.000 e 15.000 e-mails por dia a acessos não autorizados, incluindo informações financeiras e comunicações confidenciais. Organizações que utilizam a versão 1.0.16 ou superior do postmark-mcp devem remover imediatamente o pacote e revisar suas credenciais expostas.

Pesquisadores de segurança da Kaspersky revelaram como o Modelo de Protocolo de Contexto (MCP), um novo padrão da Anthropic para integrações de assistentes de IA, pode ser explorado como um vetor sofisticado de ataque à cadeia de suprimentos. O estudo de prova de conceito demonstra que servidores MCP aparentemente legítimos podem coletar silenciosamente credenciais sensíveis de desenvolvedores e dados de ambiente. O MCP atua como um ‘barramento de plug-ins’, permitindo que assistentes de IA, como Claude e Cursor, se conectem a ferramentas externas e fontes de dados através de comandos em linguagem natural. No entanto, essa arquitetura cria superfícies de ataque significativas que estão sendo exploradas por atores maliciosos. Técnicas de exploração incluem confusão de nomes, envenenamento de ferramentas e cenários de ‘rug pull’, onde servidores legítimos são substituídos por versões comprometidas. O conceito de ataque demonstrado envolveu a criação de um pacote malicioso que, uma vez instalado, realizava operações de coleta de dados sofisticadas, visando arquivos sensíveis, como chaves SSH e credenciais de API. A exfiltração de dados era disfarçada como tráfego normal do GitHub, dificultando a detecção. As equipes de segurança devem implementar fluxos de aprovação rigorosos e monitorar interações para mitigar esses riscos emergentes.