Falhas Críticas em Agentes Revelam Risco Generalizado de Pivotamento de Protocolo em MCP

O termo "pivotamento de protocolo" descreve um cenário em que uma instrução maliciosa recebida por um agente impulsionado por IA é transformada em uma solicitação aparentemente legítima a um serviço interno, frequentemente manifestando‑se como falsificação de solicitação do lado do servidor (SSRF) ou ataque de injeção. A pesquisa de Mohiuddin mostra que esse padrão se repete em um conjunto diverso de organizações que dependem da comunicação modelo‑para‑ferramenta dentro do ecossistema da Plataforma Colaborativa Multi‑Modelo (MCP).

CVE‑2026‑14540 de alta gravidade do Google

No Google, a vulnerabilidade catalogada como CVE‑2026‑14540 recebeu pontuação base CVSS de 8,0, indicando alto nível de explorabilidade e impacto. O defeito originou‑se da validação insuficiente de URLs de redirecionamento e endereços IP fornecidos por um agente antes que a solicitação alcançasse um serviço downstream. A correção do Google introduziu listas de permissão estritas, listas de bloqueio e uma verificação de inicialização que rejeita configurações inseguras, endurecendo efetivamente o caminho de fluxo de dados.

Outros incidentes corporativos e do setor público

O repositório público do JPMorgan Chase continha uma ferramenta de recuperação que não possuía lista de permissão, permitindo contato com endpoints internos arbitrários. Após a notificação, a empresa removeu a ferramenta e adicionou controles de acesso adequados. A Weaviate respondeu com um merge request direcionado (ID 12961) que restringiu os endpoints expostos, enquanto a DINUM da França reforçou suas defesas contra SSRF em setembro de 2026. A cidade de Tangerang, na Indonésia, corrigiu seu serviço vulnerável em cerca de um dia após a descoberta.

O acompanhamento separado da Rapid7 do CVE‑2026‑97228, uma injeção GraphQL com pontuação CVSS de 2,7, reforça que nem todos os bugs relacionados ao pivotamento de protocolo compartilham a mesma gravidade. A pontuação mais baixa reflete uma superfície de ataque limitada, mas ainda demonstra a amplitude do problema em diferentes formatos de solicitação.

Principais características técnicas do pivotamento de protocolo

• Agente recebe entrada não confiável de um modelo de linguagem ou usuário.
• A entrada é encaminhada para uma ferramenta sem sanitização adequada.
• A ferramenta interpreta a entrada como uma solicitação interna confiável.
• A ação resultante explora SSRF, injeção ou configuração incorreta.

A análise de Mohiuddin destaca que a causa raiz é uma suposição de confiança incorporada em muitos designs de MCP: a saída de um modelo é tratada como um dado confiável para serviços downstream. Essa suposição desmorona quando um atacante consegue influenciar a saída do modelo, por exemplo, através de injeção de prompt ou exemplos adversariais.

O pesquisador recomenda uma arquitetura zero‑trust na qual cada valor emitido por um modelo seja revalidado antes de alcançar qualquer ferramenta externa. Essa validação pode incluir verificações de esquema, verificação de listas de permissão e sandboxing em tempo de execução para garantir que nenhum valor malformado desencadeie uma operação privilegiada.

Implicações para organizações que utilizam MCP

Empresas que integraram modelos de linguagem com APIs internas precisam reavaliar seus pipelines de fluxo de dados. A presença de pivotamento de protocolo significa que uma violação em um componente pode se propagar para um comprometimento mais amplo, potencialmente expondo serviços internos sensíveis ou armazenamentos de dados.

Reguladores e auditores provavelmente irão examinar implementações de MCP em busca de evidências de controles zero‑trust, especialmente nos setores financeiro e da administração pública, onde os incidentes divulgados ocorreram.

Para organizações brasileiras, a mudança prática é clara: adotar validação rigorosa de entrada em cada ponto de transição, impor listas de permissão para chamadas a serviços internos e implantar monitoramento que sinalize solicitações de saída inesperadas originadas de agentes de IA. Ao tratar a saída do modelo como não confiável por padrão, as empresas podem mitigar o risco de pivotamento de protocolo e proteger infraestruturas críticas contra uma nova classe de ataques habilitados por IA.