Servidores MCP podem expor segredos corporativos por meio de arquivos de configuração em texto claro, acessos com permissões excessivas e injeção de prompts, frequentemente antes mesmo de as equipes de segurança saberem que o servidor está em execução. À medida que mais organizações adotam agentes de IA em seus sistemas, essa exposição pode se tornar silenciosamente uma grande brecha na segurança de servidores MCP. O Model Context Protocol (MCP, Protocolo de Contexto de Modelo) permite que agentes de IA alcancem ferramentas e dados, incluindo documentação interna e infraestrutura em nuvem, que formam a base dos sistemas corporativos. Por trás dessa conveniência, o servidor MCP que conecta essas ferramentas e dados aos sistemas corporativos geralmente guarda as chaves de tudo o que ele acessa: credenciais, chaves de contas de serviço, tokens de API e outros segredos. Toda organização deve agora questionar quais segredos está entregando à IA e o quão bem esses segredos estão protegidos quando chegam a um servidor MCP.
O que é o Model Context Protocol (MCP)?
O Model Context Protocol (MCP) é um padrão aberto, originalmente apresentado pela Anthropic, que permite que assistentes de IA se conectem a ferramentas e dados externos. Em vez de se limitar ao conhecimento existente de um modelo, um agente de IA pode usar o MCP para acessar sistemas ativos, extrair um registro de um banco de dados, abrir um arquivo ou chamar uma API (Interface de Programação de Aplicações). O que torna isso possível é o servidor MCP: um pequeno programa que fica entre a IA e o sistema que ela pretende usar, expondo as ações específicas que o agente de IA tem permissão para executar. Com o servidor MCP atuando como intermediário, é aí que reside o maior risco, porque, para agir em um sistema, um servidor MCP exige as credenciais desse sistema.
Os agentes não produzem mais apenas respostas; eles agem, recuperando dados sensíveis e decidindo quais ferramentas acionar usando Identidades Não Humanas (NHIs, do inglês Non-Human Identities) como chaves de API e tokens. Como o MCP transforma agentes de IA em identidades ativas que operam em sistemas corporativos, um segredo vazado não apenas expõe dados; também concede a um invasor a capacidade de agir sobre eles.
Formas como servidores MCP podem expor segredos
A conveniência do MCP vem com uma ressalva: o mesmo servidor que permite a um agente de IA realizar trabalho significativo também é um concentrador de credenciais. Como o MCP é inovador e avança rapidamente, muitos servidores são construídos e implantados sem as medidas de segurança que deveriam ser esperadas para algo que guarda chaves de produção. Veja a seguir algumas das formas mais comuns pelas quais segredos podem acabar expostos em servidores MCP.
Credenciais em texto claro em arquivos de configuração
Servidores MCP rotineiramente armazenam os tokens e chaves de que precisam em arquivos de configuração locais e, muitas vezes, em texto claro. Em muitas configurações, colocar um servidor em funcionamento significa colar uma string de configuração que contém as próprias credenciais. Se esse arquivo ficar em um disco, é muito provável que passe despercebido, seja copiado entre máquinas ou enviado por engano a um repositório Git. Quando um invasor alcança esse servidor, tudo o que ele contém se torna legível.
Dispersão de credenciais em servidores sem governança
Sem um local central para armazenar segredos, cada agente de IA acaba gerenciando os seus próprios. As mesmas credenciais — incluindo chaves de API e tokens — se espalham por arquivos de configuração e variáveis de ambiente, e cópias duplicadas se acumulam entre desenvolvimento, homologação e produção. Como ninguém tem um inventário completo desses segredos, eles raramente são rotacionados, permanecendo válidos e estáticos por tempo indefinido. Cada segredo disperso e de longa duração pode ser roubado por um invasor, criando mais um ponto de entrada potencial para uma violação.
Injeção de prompts
Nem todo vazamento exige que um invasor invada o sistema. Como agentes de IA leem e agem com base no material que recebem, um invasor pode ocultar instruções em um documento, chamado de suporte ou página da web que o agente acessa. Como resultado, o agente pode seguir essas instruções ocultas, tratando-as como comandos legítimos no que é conhecido como injeção de prompts. Agentes podem ser enganados a usar indevidamente suas ferramentas ou entregar os segredos que deveriam proteger.
Permissões excessivas
Para evitar erros de autorização durante o desenvolvimento, os desenvolvedores frequentemente concedem permissões amplas a um servidor MCP e seguem em frente. No entanto, esses escopos generosos tendem a ir para a produção se forem esquecidos. Quando o privilégio mínimo não é aplicado, um agente de IA pode ir muito além do necessário para sua tarefa, o que significa que qualquer comprometimento isolado expõe muito mais do que deveria.
Risco de servidor exposto
Qualquer pessoa pode publicar um servidor MCP, o que é um problema de cadeia de suprimentos esperando para acontecer. Conectar-se a um servidor não confiável pode se voltar contra você, como demonstrou o CVE-2025-6514 (vulnerabilidade pública catalogada pelo NIST, o Instituto Nacional de Padrões e Tecnologia dos Estados Unidos). No mcp-remote (um proxy OAuth — protocolo aberto de autorização — baixado mais de 400 mil vezes que roda na máquina cliente), um servidor malicioso poderia disparar injeção de comandos no sistema operacional, levando à execução remota de código na máquina que executa o proxy e permitindo que invasores roubassem suas credenciais.
Como proteger segredos corporativos em servidores MCP
O MCP muda onde os segredos ficam e quem os alcança, mas as medidas para protegê-los devem ser aplicadas intencionalmente a essa nova camada de IA. Veja a seguir algumas práticas recomendadas que combatem os caminhos de exposição:
- Pare de hardcodar segredos e centralize-os. Retirar credenciais de arquivos de configuração, variáveis de ambiente e código-fonte e colocá-las em um único repositório gerenciado é a solução tanto para a exposição em texto claro quanto para a dispersão de credenciais. Em vez de segredos espalhados por servidores, os agentes de IA recuperam o que precisam de uma única fonte governada em tempo de execução.
- Use credenciais de curta duração e rotacione-as automaticamente. Segredos estáticos e de longa duração são valiosos para invasores porque não mudam. Substituí-los por credenciais emitidas sob demanda e que expiram por conta própria reduz a janela de oportunidade para que invasores as explorem, e a rotação automatizada torna um segredo vazado inútil assim que é exposto.
- Aplique o privilégio mínimo. Conceda a cada agente de IA acesso apenas aos sistemas e dados que sua tarefa exige, de forma que um agente comprometido exponha apenas uma fração do que um agente com permissões excessivas exporia.
- Mantenha uma pessoa no circuito para ações sensíveis. Recuperar um segredo sem mascaramento, excluir um registro ou acessar a produção devem exigir confirmação explícita. Esse ponto de checagem é, em geral, o que impede que uma tentativa de injeção de prompts se transforme silenciosamente em uma violação grave.
- Criptografe segredos com um modelo de confiança zero e conhecimento zero. Os segredos devem ser criptografados de ponta a ponta, recuperados apenas no momento de uso e nunca legíveis pela plataforma que os armazena. Uma abordagem de conhecimento zero significa que, mesmo um cofre comprometido, não entrega nada que um invasor possa ler.
- Registre e audite tudo o que o agente faz. Agentes autônomos agem rápido e sem supervisão direta, portanto um registro completo do que foi acessado e quando é essencial para a conformidade e para diagnosticar um incidente depois.
- Mantenha um inventário dos seus servidores MCP. Não se protege o que não se vê. Manter a visibilidade sobre cada servidor MCP em execução no seu ambiente elimina a IA de sombra — identidades não gerenciadas e esquecidas que guardam credenciais ativas em silêncio e nunca aparecem em uma análise de segurança.
Repense a gestão de segredos para agentes de IA
O MCP adicionou silenciosamente uma nova camada à empresa — uma camada que fica entre agentes de IA e praticamente todos os sistemas que vale a pena proteger, e que guarda as credenciais para acessá-los. As organizações devem aplicar o mesmo rigor que aplicariam a qualquer outro sistema de produção que guarda segredos, o que significa que centralizar credenciais e controlar o que cada agente pode acessar é essencial. Ferramentas construídas para isso, como o Keeper Secrets Manager, ocultam segredos por padrão e exigem confirmação antes que qualquer valor seja revelado, para que agentes de IA possam usar credenciais sem deixá-las expostas, ajudando as organizações a protegerem a camada MCP.
Nota: Este artigo foi cuidadosamente escrito e gentilmente contribuído para nossa audiência por Ashley D'Andrea, redatora de conteúdo da Keeper Security.
