Vulnerabilidades críticas em agentes revelam risco generalizado de pivotamento de protocolo em implementações MCP

O termo "pivotamento de protocolo" descreve um cenário em que uma instrução maliciosa recebida por um agente impulsionado por IA é transformada numa solicitação aparentemente legítima a um serviço interno, manifestando‑se frequentemente como falsificação de solicitação do lado do servidor (SSRF) ou ataque de injeção. A pesquisa de Mohiuddin demonstra que este padrão reaparece em diversas organizações que dependem da comunicação modelo‑para‑ferramenta dentro do ecossistema da Plataforma Colaborativa Multi‑Modelo (MCP).

CVE‑2026‑14540 de alta gravidade da Google

Na Google, a vulnerabilidade catalogada como CVE‑2026‑14540 recebeu uma pontuação base CVSS de 8,0, indicando elevada explotabilidade e impacto. O defeito decorreu de validação insuficiente dos URLs de redirecionamento e endereços IP fornecidos por um agente antes de a solicitação alcançar um serviço a jusante. O patch da Google introduziu listas de permissões estritas, listas de bloqueio e uma verificação de arranque que rejeita configurações inseguras, reforçando efetivamente o percurso de fluxo de dados.

Outros incidentes em empresas e setor público

O repositório público da JPMorgan Chase continha uma ferramenta de recuperação sem lista de permissões, permitindo o contacto com pontos finais internos arbitrários. Após a notificação, a empresa removeu a ferramenta e adicionou controlos de acesso adequados. A Weaviate respondeu com um pedido de mesclagem específico (ID 12961) que restringiu os pontos finais expostos, enquanto a DINUM francesa reforçou as suas defesas contra SSRF em setembro de 2026. A cidade de Tangerang, na Indonésia, corrigiu o serviço vulnerável em cerca de um dia após a descoberta.

O rastreamento independente da Rapid7 da CVE‑2026‑97228, uma injeção GraphQL com pontuação CVSS de 2,7, sublinha que nem todos os bugs relacionados com pivotamento de protocolo partilham a mesma gravidade. A pontuação mais baixa reflete uma superfície de ataque limitada, mas ainda demonstra a extensão do problema em diferentes formatos de solicitação.

Características técnicas chave do pivotamento de protocolo

• O agente recebe entrada não confiável de um modelo de linguagem ou utilizador.
• A entrada é encaminhada para uma ferramenta sem a devida sanitização.
• A ferramenta interpreta a entrada como uma solicitação interna de confiança.
• A ação resultante explora SSRF, injeção ou má configuração.

A análise de Mohiuddin destaca que a causa raiz reside numa suposição de confiança incorporada em muitos designs MCP: a saída de um modelo é tratada como um dado fiável para serviços a jusante. Esta suposição desmorona quando um atacante consegue influenciar a saída do modelo, por exemplo através de injeção de prompt ou exemplos adversariais.

O investigador recomenda uma arquitectura zero‑trust em que cada valor emitido por um modelo seja revalidado antes de alcançar qualquer ferramenta externa. Essa validação pode incluir verificações de esquema, confirmação de listas de permissões e sandboxing em tempo de execução, garantindo que nenhum valor mal‑formado desencadeie uma operação privilegiada.

Implicações para organizações que utilizam MCP

Empresas que integraram modelos de linguagem com APIs internas devem reavaliar as suas pipelines de fluxo de dados. A presença de pivotamento de protocolo significa que uma violação num componente pode escalar para um comprometimento mais amplo, expondo serviços internos sensíveis ou repositórios de dados.

Entidades reguladoras e auditores provavelmente irão escrutinar implementações MCP à procura de provas de controlos zero‑trust, especialmente nos sectores financeiro e da administração pública, onde os incidentes divulgados ocorreram.

Para organizações de língua portuguesa, a mudança prática é clara: aplicar validação rigorosa de entrada em cada ponto de transição, impor listas de permissões para chamadas a serviços internos e implementar monitorização que sinalize solicitações de saída inesperadas originadas por agentes de IA. Ao tratar a saída do modelo como não confiável por defeito, as entidades podem mitigar o risco de pivotamento de protocolo e proteger infra‑estruturas críticas contra esta nova classe de ataques potenciados por IA.