NIST alerta para ataques por ferramentas MCP a agentes de IA

A 9 de novembro de 2026, o Instituto Nacional de Normas e Tecnologia dos Estados Unidos (NIST) publicou um projeto público inicial da publicação especial NIST SP 2400-102e2026, intitulada «Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations». Segundo o NIST, o texto está aberto a comentários públicos até 18 de dezembro de 2026. Entre os seus pontos, o projeto alerta para a cadeia de abastecimento das ferramentas que os agentes de IA acionam através do Model Context Protocol (MCP).

O que é a aprendizagem automática adversarial e o que abrange o projeto do NIST?

A aprendizagem automática adversarial (adversarial machine learning, AML) estuda os ataques que manipulam deliberadamente sistemas de aprendizagem automática, bem como as defesas correspondentes. Segundo o NIST, o relatório estabelece uma taxonomia de conceitos e define a terminologia da área. A taxonomia segue uma hierarquia conceptual que abrange os principais tipos de métodos de aprendizagem automática, as etapas do ciclo de vida de um ataque e os objetivos, metas, capacidades e conhecimentos dos atacantes. O NIST afirma que assenta numa vasta revisão da literatura, em conversas com especialistas em AML e em investigação dos seus próprios especialistas.

O projeto dá continuidade à série histórica NIST AI 100-2, de acordo com a página da publicação, que cita a AI 100-2 E2025 entre as publicações relacionadas. Os autores referidos são Apostol Vassilev e Maia Hamin (NIST), Alina Oprea (Northeastern University), Alie Fordyce (ElevenLabs) e Xander Davies (U.K. AI Security Institute). Esta edição centra-se nos ataques a sistemas agênticos e nas suas mitigações, tratados na secção 4 do relatório, com um novo índice de tipos de ataques agênticos.

Importa uma nota de terminologia. As próprias páginas do NIST usam a abreviatura «SI», desenvolvida como «Super Intelligence», para designar os sistemas abrangidos, enquanto a CDO Magazine e o iThome descrevem um projeto dedicado a sistemas de IA agêntica. Este artigo escreve «IA» e segue a descrição desses dois meios.

Que ataques lista a taxonomia?

Segundo a CDO Magazine, que noticiou o projeto a 12 de novembro, o documento examina o envenenamento de dados, o envenenamento de modelos, os ataques à privacidade e as técnicas de evasão. Para a IA generativa, abrange ataques à cadeia de abastecimento, injeção de prompt direta e indireta, extração de informação e adulteração de modelos. A injeção de prompt consiste em esconder instruções num texto lido por um modelo para que este as obedeça.

O meio taiwanês iThome informou a 13 de novembro que o projeto abrange a aprendizagem automática preditiva, a IA generativa e os sistemas de IA agêntica, com as defesas correspondentes. A parte agêntica, precisa a CDO Magazine, trata das ameaças que resultam da interação dos agentes com dados externos, ferramentas, competências e outros agentes: dados não fiáveis, ferramentas e competências maliciosas, fluxos multiagente e tarefas de longa duração.

Como se envenena uma ferramenta MCP?

O Model Context Protocol (MCP) é um padrão que permite aos agentes de IA ligarem-se a ferramentas externas oferecidas por servidores de terceiros. Segundo o resumo do iThome, um agente decide que ferramenta usar a partir da descrição em texto fornecida pelo fornecedor da ferramenta. O NIST descreve um atacante que insere instruções na descrição de uma ferramenta maliciosa para levar o agente a escolher a ferramenta do atacante, ou até a alterar o seu plano original. O NIST chama a esta técnica envenenamento de ferramentas (tool poisoning).

Uma segunda técnica é o «rug pull», segundo o iThome. O atacante regista primeiro um servidor MCP de aparência normal num registo público de ferramentas. Depois de os utilizadores o instalarem, modifica em segredo as descrições das ferramentas fornecidas pelo servidor, de modo que o agente execute operações maliciosas sem pedir de novo o consentimento do utilizador.

O iThome acrescenta que investigações citadas pelo NIST encontraram este tipo de risco em servidores MCP em funcionamento real. O mesmo resumo afirma que os mecanismos atuais de alinhamento de segurança dos modelos de IA continuam insuficientes para travar um comportamento malicioso transmitido por uma interface de ferramenta legítima.

Que defesas sugere o NIST?

Os dois meios relatam listas de mitigações diferentes e complementares retiradas do projeto:

• Verificar as definições das ferramentas com assinaturas criptográficas e identificadores de versão imutáveis, e isolar o ambiente de execução das ferramentas numa sandbox (iThome).
• Separar as instruções de confiança do conteúdo não fiável, restringir os fluxos de informação, aplicar controlos de acesso e permissões de menor privilégio, e usar sandbox e registo de auditoria (CDO Magazine).

Porque é que reiniciar não basta contra o envenenamento da memória?

Além das ferramentas, o iThome relata que o NIST discute os riscos dos agentes que executam tarefas longas. Se um atacante implanta conteúdo malicioso na memória de longo prazo de um agente, esse conteúdo pode influenciar o seu comportamento em tarefas posteriores: é o envenenamento da memória. A CDO Magazine explica que os agentes recuperam informação de sítios web, ficheiros, bases de conhecimento e memória persistente, e que instruções maliciosas embutidas nesse material podem entrar no contexto do agente.

Um segundo risco é a deriva de instruções. Segundo o iThome, à medida que os dados de trabalho se acumulam, um agente pode seguir cada vez menos fielmente as suas instruções e restrições iniciais, o que dá a um atacante a oportunidade de alterar o seu comportamento ao longo de várias interações. Se o elemento envenenado for o modelo de base ou a sua camada de adaptação, um simples reinício ou reversão pode não remover o comportamento malicioso, e pode ser necessário substituir o modelo ou voltar a treiná-lo, ainda segundo o iThome.

O que muda para uma empresa?

A CDO Magazine afirma que o projeto é voluntário e não estabelece requisitos legais ou regulamentares. É também apenas um projeto: o NIST diz que atualizará o documento à medida que os ataques e as defesas evoluírem, e pede comentários sobre três questões, a saber, os ataques mais recentes contra os sistemas atuais e os agênticos em particular, as mitigações eficazes mais recentes e a terminologia nova que seja necessário normalizar. O NIST indica que a taxonomia deve alimentar futuras normas e guias de prática.

Para uma empresa portuguesa que trabalhe com fornecedores ou clientes norte-americanos, o projeto oferece um vocabulário comum para questionar os seus fornecedores e redigir requisitos de segurança. A nossa leitura, que não é uma declaração do NIST: um primeiro passo é inventariar cada servidor e ferramenta MCP que os seus agentes podem acionar, fixar as versões em uso, voltar a verificar as descrições das ferramentas após cada atualização, dar aos agentes apenas as permissões necessárias e guardar registos das suas ações. Estes controlos inserem-se num quadro mais amplo de governação de agentes de IA.