NIST alerta para ataques via ferramentas MCP em agentes de IA

Em 9 de novembro de 2026, o Instituto Nacional de Padrões e Tecnologia dos Estados Unidos (NIST) publicou um rascunho público inicial da publicação especial NIST SP 2400-102e2026, intitulada «Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations». Segundo o NIST, o texto está aberto a comentários públicos até 18 de dezembro de 2026. Entre seus pontos, o rascunho alerta para a cadeia de suprimentos das ferramentas que os agentes de IA acionam por meio do Model Context Protocol (MCP).

O que é aprendizado de máquina adversarial e o que o rascunho do NIST cobre?

O aprendizado de máquina adversarial (adversarial machine learning, AML) estuda os ataques que manipulam deliberadamente sistemas de aprendizado de máquina, bem como as defesas correspondentes. Segundo o NIST, o relatório estabelece uma taxonomia de conceitos e define a terminologia da área. A taxonomia segue uma hierarquia conceitual que abrange os principais tipos de métodos de aprendizado de máquina, as etapas do ciclo de vida de um ataque e os objetivos, metas, capacidades e conhecimentos dos atacantes. O NIST afirma que ela se apoia em ampla revisão da literatura, conversas com especialistas em AML e pesquisas de seus próprios especialistas.

O rascunho dá continuidade à série histórica NIST AI 100-2, de acordo com a página da publicação, que cita a AI 100-2 E2025 entre as publicações relacionadas. Os autores mencionados são Apostol Vassilev e Maia Hamin (NIST), Alina Oprea (Northeastern University), Alie Fordyce (ElevenLabs) e Xander Davies (U.K. AI Security Institute). Esta edição concentra-se nos ataques a sistemas agênticos e em suas mitigações, tratados na seção 4 do relatório, com um novo índice de tipos de ataques agênticos.

Vale uma observação de terminologia. As próprias páginas do NIST usam a abreviação «SI», desenvolvida como «Super Intelligence», para nomear os sistemas abrangidos, enquanto a CDO Magazine e o iThome descrevem um rascunho dedicado a sistemas de IA agêntica. Este artigo escreve «IA» e segue a descrição desses dois veículos.

Quais ataques a taxonomia lista?

Segundo a CDO Magazine, que noticiou o rascunho em 12 de novembro, o documento examina o envenenamento de dados, o envenenamento de modelos, os ataques à privacidade e as técnicas de evasão. Para a IA generativa, abrange ataques à cadeia de suprimentos, injeção de prompt direta e indireta, extração de informações e adulteração de modelos. Injeção de prompt é esconder instruções em um texto lido por um modelo para que ele as obedeça.

O veículo taiwanês iThome informou em 13 de novembro que o rascunho abrange o aprendizado de máquina preditivo, a IA generativa e os sistemas de IA agêntica, com as defesas correspondentes. A parte agêntica, precisa a CDO Magazine, trata das ameaças que surgem da interação dos agentes com dados externos, ferramentas, habilidades e outros agentes: dados não confiáveis, ferramentas e habilidades maliciosas, fluxos multiagente e tarefas de longa duração.

Como uma ferramenta MCP pode ser envenenada?

O Model Context Protocol (MCP) é um padrão que permite a agentes de IA se conectarem a ferramentas externas oferecidas por servidores de terceiros. Segundo o resumo do iThome, um agente decide qual ferramenta usar a partir da descrição em texto fornecida pelo provedor da ferramenta. O NIST descreve um atacante que insere instruções na descrição de uma ferramenta maliciosa para levar o agente a escolher a ferramenta do atacante, ou até a mudar seu plano original. O NIST chama essa técnica de envenenamento de ferramentas (tool poisoning).

Uma segunda técnica é o «rug pull», segundo o iThome. O atacante registra primeiro um servidor MCP de aparência normal em um registro público de ferramentas. Depois que os usuários o instalam, ele modifica em segredo as descrições das ferramentas fornecidas pelo servidor, de modo que o agente execute operações maliciosas sem pedir novamente o consentimento do usuário.

O iThome acrescenta que pesquisas citadas pelo NIST encontraram esse tipo de risco em servidores MCP em operação real. O mesmo resumo afirma que os mecanismos atuais de alinhamento de segurança dos modelos de IA continuam insuficientes para barrar um comportamento malicioso transmitido por uma interface de ferramenta legítima.

Que defesas o NIST sugere?

Os dois veículos relatam listas de mitigações diferentes e complementares extraídas do rascunho:

• Verificar as definições das ferramentas com assinaturas criptográficas e identificadores de versão imutáveis, e isolar o ambiente de execução das ferramentas em uma sandbox (iThome).
• Separar as instruções confiáveis do conteúdo não confiável, restringir os fluxos de informação, aplicar controles de acesso e permissões de mínimo privilégio, e usar sandbox e registro de auditoria (CDO Magazine).

Por que reiniciar não basta contra o envenenamento de memória?

Além das ferramentas, o iThome relata que o NIST discute os riscos dos agentes que executam tarefas longas. Se um atacante implanta conteúdo malicioso na memória de longo prazo de um agente, esse conteúdo pode influenciar o comportamento dele em tarefas posteriores: é o envenenamento de memória. A CDO Magazine explica que os agentes recuperam informações de sites, arquivos, bases de conhecimento e memória persistente, e que instruções maliciosas embutidas nesse material podem entrar no contexto do agente.

Um segundo risco é a deriva de instruções. Segundo o iThome, à medida que os dados de trabalho se acumulam, um agente pode seguir cada vez menos fielmente suas instruções e restrições iniciais, o que dá a um atacante a chance de mudar seu comportamento ao longo de várias interações. Se o elemento envenenado for o modelo de base ou sua camada de adaptação, uma simples reinicialização ou reversão pode não remover o comportamento malicioso, e pode ser necessário substituir o modelo ou retreiná-lo, ainda segundo o iThome.

O que isso muda para uma empresa?

A CDO Magazine afirma que o rascunho é voluntário e não estabelece exigências legais ou regulatórias. Também é só um rascunho: o NIST diz que atualizará o documento conforme os ataques e as defesas evoluírem, e pede comentários sobre três perguntas, a saber, os ataques mais recentes contra os sistemas atuais e os agênticos em particular, as mitigações eficazes mais recentes e a terminologia nova que precise ser padronizada. O NIST indica que a taxonomia deve embasar futuras normas e guias de prática.

Para uma empresa brasileira que trabalhe com fornecedores ou clientes americanos, o rascunho oferece um vocabulário comum para questionar fornecedores e redigir requisitos de segurança. Nossa leitura, que não é declaração do NIST: um primeiro passo é inventariar cada servidor e ferramenta MCP que seus agentes podem acionar, fixar as versões em uso, rever as descrições das ferramentas após cada atualização, dar aos agentes apenas as permissões necessárias e guardar registros de suas ações. Esses controles fazem parte de um quadro mais amplo de governança de agentes de IA.