State of MCP Security 2026: a superfície de ataque dos agentes torna-se um assunto à parte

O primeiro relatório dedicado à segurança MCP catalogou uma dívida que cresce mais rápido do que o próprio ecossistema.

Em termos simples

Um primeiro relatório dedicado — « State of MCP Security 2026 » da Canopii — lista as vulnerabilidades e más práticas do ecossistema Model Context Protocol. A mensagem é clara: a segurança não acompanhou a velocidade de adoção.

O fato

Publicado em 12 de julho de 2026 (PDF da Canopii), o relatório analisa servidores MCP públicos e privados e identifica várias classes de fraquezas: tokens/credenciais expostos, ausência de controle de origem no servidor, injeção de prompt via descrições de ferramentas, dependências não fixadas e gerenciamento permissivo de escopos.

Análise

O MCP explodiu em 2025-2026 porque resolve um problema real: conectar LLMs a ferramentas sem codificar N integrações. Mas a velocidade de adoção contornou a higiene. Três padrões se destacam:

1. Injeção por descrição de ferramenta: o servidor MCP controla o texto que o LLM vê — pode, portanto, inserir instruções ocultas que desviam o agente. Clássico, conhecido, mas com poucos mecanismos de proteção nos clientes de uso geral.
2. Credenciais com granularidade grosseira: muitos servidores pedem um token OAuth com escopos excessivamente amplos, reutilizados para todas as ferramentas, sem rotação.
3. Confusão cross-servidor: quando um agente encadeia 5 servidores MCP, nenhum mecanismo padrão rastreia a origem de um resultado de ferramenta. Um servidor comprometido pode alimentar outro com instruções.

Por dentro

O relatório estima (a confirmar por auditorias terceiras) que ~40% dos servidores MCP públicos testados expõem pelo menos uma chave secreta em seu repositório ou configuração padrão, e que ~65% não implementam verificação de origem nas chamadas. Propõe uma lista de verificação com 12 pontos: fixação estrita de versões, escopos mínimos, assinatura das descrições de ferramentas, registro sob demanda e sandbox por servidor.

Cenários

• Padronização (50%): Anthropic e OpenAI publicam até Q4 2026 um perfil MCP « secure by default » com verificação criptográfica das ferramentas.
• Fragmentação (35%): cada cliente implementa seu próprio endurecimento; o ecossistema se divide em « MCP de uso geral » e « MCP empresarial ».
• Incidente maior (15%): uma violação visível força a indústria a acelerar — cenário mais provável para Q1 2027.

E então?

Para um CTO que implanta agentes: tratar o MCP como código de terceiros não auditado. Sandbox por servidor, escopos estritos, revisão manual das descrições de ferramentas, monitoramento das saídas do agente. Para um investidor: a camada de segurança do MCP se torna um mercado real — espere ver 2-3 startups especializadas levantarem capital nos próximos 6 meses.

A se observar

Um perfil MCP endurecido publicado pela Anthropic ou OpenAI, um CVE público em um servidor MCP popular e a primeira aquisição de uma startup de segurança MCP por um player estabelecido no setor de cibersegurança.