Serviços

Pentest para MCP: segurança em servidores Model Context Protocol e agentes de IA

Cada servidor MCP dá a um agente de IA acesso a dados, APIs e comandos reais. A Vantico testa esses servidores e integrações como um atacante faria, com foco em tool poisoning, prompt injection, credenciais expostas e permissões excessivas, mapeando os achados ao OWASP MCP Top 10.

O que é o Pentest para MCP?

O Pentest para MCP é um teste de intrusão em servidores e integrações do Model Context Protocol, o padrão aberto que conecta assistentes e agentes de IA a ferramentas, bancos de dados e APIs. Especialistas atacam o servidor MCP, o cliente e o fluxo do agente para descobrir se a IA pode ser manipulada a vazar dados, executar comandos ou agir além do que deveria. Um pentest tradicional de aplicação ou API não cobre esses riscos. No MCP, o atacante não precisa invadir o sistema: basta convencer o modelo a usar uma ferramenta legítima de forma maliciosa, por meio de um texto escondido na descrição da ferramenta, num documento ou num ticket.

A própria especificação do MCP afirma que o protocolo não consegue impor os princípios de segurança sozinho. Consentimento, controle de acesso e validação ficam a cargo de quem implementa, e é isso que o pentest verifica.

[!] Scanner Automatizado 0 Critical

[!] Framework Genérico 0 Critical

Vantico Pentest 4 Critical Found

UPDATE system_logs

SET message = 'User authentication succeeded with elevated privileges after multi-factor validation',

context_json = '{"module":"auth","action":"login","mfa":true,"latency_ms":842,"source":"web"}',

severity = 'INFO',

processed_at = '2026-02-26 15:08:49'

WHERE log_id = 553210 AND environment = 'production';

SELECT u.id, u.full_name, t.reference_code, t.amount, t.status, t.created_at

Por que servidores MCP são o novo alvo dos atacantes

O MCP virou infraestrutura de produção mais rápido do que a segurança acompanhou. Entre 2025 e 2026, ataques a servidores MCP saíram dos laboratórios e chegaram a empresas reais.

Os riscos mais comuns em ambientes MCP

Tool poisoning: instruções escondidas na descrição de uma ferramenta, que o modelo lê e o usuário não vê.
Prompt injection indireto: comandos maliciosos dentro de e-mails, documentos, tickets ou páginas que a ferramenta devolve ao agente.
Tokens e segredos expostos: credenciais de longa duração em arquivos de configuração, logs ou na memória do modelo. Só em configs de MCP públicas no GitHub, a GitGuardian achou mais de 2.100 segredos ainda válidos.
Permissões excessivas: servidores com acesso administrativo ao banco ou à nuvem quando a tarefa pedia só leitura.
Injeção de comandos e path traversal: parâmetros vindos do modelo usados sem validação em shell, SQL ou sistema de arquivos.
Rug pull e cadeia de suprimentos: um servidor aprovado que muda de comportamento numa atualização.
Shadow MCP: servidores instalados por desenvolvedores fora da governança de segurança, com configuração padrão.

UPDATE system_logs

SET message = 'User authentication succeeded with elevated privileges after multi-factor validation',

context_json = '{"module":"auth","action":"login","mfa":true,"latency_ms":842,"source":"web"}',

severity = 'INFO',

processed_at = '2026-02-26 15:08:49'

WHERE log_id = 553210 AND environment = 'production';

SELECT u.id, u.full_name, t.reference_code, t.amount, t.status, t.created_at

SaaS, plataformas e APIs que oferecem um servidor MCP oficial para os clientes conectarem Claude, ChatGPT, Copilot ou Cursor ao produto. Uma falha ali expõe os dados de todos os clientes.

Empresas que conectaram agentes a CRM, ERP, banco de dados, repositórios, e-mail ou nuvem via MCP. O pentest mostra até onde um agente manipulado chega.

Times de engenharia que usam servidores MCP em Cursor, Claude Code, VS Code ou no CI/CD, onde o servidor roda com as credenciais do desenvolvedor.

Nosso processo

Etapa 1 Kickoff e mapeamento

Etapa 2 Modelagem de ameaças

Etapa 3 Testes no protocolo e no servidor

Etapa 4 Testes no agente

Etapa 5 Relatório e recomendações

Etapa 6 Reteste e carta de atestado

Relatórios e entregas

O relatório de Pentest MCP é estruturado para servir de evidência de segurança dos servidores MCP e das integrações de agentes de IA perante clientes, auditorias e processos de due diligence. Inclui escopo e período dos testes, metodologia, ativos avaliados (servidores, ferramentas, clientes e credenciais), vulnerabilidades classificadas por severidade com evidências e passos de reprodução, recomendações de correção e o resultado do reteste. Os achados são mapeados ao OWASP MCP Top 10. Acompanha a Carta de Atestado da Vantico.

Modelo de Relatório Carta de Atestado

Perguntas frequentes

O que é MCP (Model Context Protocol)?

É um padrão aberto, criado pela Anthropic em 2024, que conecta assistentes e agentes de IA a ferramentas e fontes de dados externas. Funciona como uma porta única para a IA ler arquivos, consultar bancos, chamar APIs e executar ações.

O que é tool poisoning?

É um ataque em que instruções maliciosas ficam escondidas na descrição de uma ferramenta MCP. O modelo lê essas instruções como confiáveis e pode vazar dados ou executar ações, sem que o usuário veja nada.

Um pentest de API comum cobre o servidor MCP?

Só em parte. Ele encontra falhas clássicas de autenticação e injeção, mas não testa como o agente se comporta diante de conteúdo malicioso, tool poisoning ou encadeamento entre servidores.

Com que frequência devo fazer o pentest em MCP?

Pelo menos uma vez por ano e sempre que um novo servidor, ferramenta ou permissão relevante for adicionado. Em ambientes que mudam rápido, vale um ciclo contínuo.

O pentest em MCP ajuda em ISO 27001, SOC 2 ou BACEN?

Sim. Agentes de IA conectados a sistemas internos entram no escopo dessas avaliações, e o relatório serve como evidência técnica de gestão de vulnerabilidades.

Pronto para fortalecer sua segurança?

Agendar demonstração