Defesa Apenas de Gateway Falha: 30 CVEs de MCP em 60 Dias, Quatro Controles Necessários

Um gateway não é um plano de controle. Essa distinção, apoiada por um registro crescente de vulnerabilidades, ancora um artigo detalhado do InfoQ publicado em 29 de julho por Nik Kale, um Principal Engineer executando MCP em uma plataforma atendendo mais de 200.000 usuários e membro da Coalition for Secure AI. Nos primeiros 60 dias de 2026, pesquisadores registraram mais de 30 CVEs contra implantações de MCP. A varredura de março da Adversa AI em 500+ servidores MCP encontrou 38% sem autenticação em endpoints críticos e 43% vulneráveis a execução de comandos. A varredura da VIPER-MCP de 39.884 repositórios revelou 106 vulnerabilidades zero-day.

O caso mais agudo é CVE-2026-26118, um SSRF CVSS 8.8 no Azure MCP Server. Um atacante com privilégios baixos substituiu um Azure Resource Identifier padrão por uma URL maliciosa em um parâmetro de chamada de ferramenta. O servidor—autenticado na entrada mas sem controles de saída—fez a requisição e anexou seu token de identidade gerenciada. Versões anteriores a 2.0.0-beta.17 foram afetadas. O atacante herdou tudo que essa identidade podia alcançar no Azure. A autenticação de entrada estava presente. O token ainda vazou.

Kale estrutura um modelo de defesa em quatro camadas. Um gateway lida com autenticação, autorização, limitação de taxa e auditoria. Ele não garante que os manipuladores de ferramentas sanitizem entradas, impeçam MCP Inspectors de aceitarem conexões de porta de gerenciamento, restrinjam chamadas de saída ou detectem mudanças de esquema entre registro e execução. Cada lacuna tem seu próprio ponto de aplicação: manipuladores controlam validação de entrada; namespaces de rede isolados controlam o plano de gerenciamento; listas de saída permitida e tokens com escopo controlam vazamento de credenciais; fixação de manifesto controla desvio semântico.

Desvio semântico—ataques de "rug-pull" nos termos da Solo.io—é o mais difícil de operacionalizar. Uma ferramenta pode ser autenticada, válida em esquema e aprovada, mas executar comportamento diferente do que a equipe de segurança aprovou, porque o protocolo não oferece mecanismo para servidores provarem que suas definições de ferramenta correspondem ao que os clientes confiavam. Kale prescreve revisão de manifesto baseada em diff no registro: toda mudança de ferramenta dispara revisão, similar a revisão de código para mudanças de esquema.

A camada de saída contrapõe diretamente a classe de CVE. O exemplo de NetworkPolicy do Kubernetes de Kale restringe o tráfego de saída aos intervalos CIDR internos por padrão, com exceções para serviços downstream legítimos. O controle de token segue escopo de menor privilégio: o raio de explosão de um token deve corresponder à ferramenta específica, não à identidade gerenciada inteira. Uma varredura do Censys encontrou 12.520 serviços MCP expostos publicamente; aproximadamente 40% carecem de autenticação. O novo MCP spec RC publicado em 28 de julho adiciona transporte sem estado mas não obriga autenticação—equipes de implantação controlam essa superfície de controle.

Exposição do plano de gerenciamento é menos conhecida mas operacionalmente comum: MCP Inspectors e ferramentas de desenvolvimento frequentemente se vinculam a localhost e são enviados sem autenticação. CVE-2025-49596 no MCP Inspector da Anthropic (CVSS 9.4) era explorável de uma página maliciosa em localhost:6274. Kale prescreve isolamento de rede: ferramentas de gerenciamento rodam em um namespace separado, inacessível de caminhos de agente.

Amazon, Uber e Pinterest compartilharam arquiteturas MCP de produção no MCP Dev Summit de abril. A NSA publicou orientação formal de MCP em junho de 2026, pedindo para registrar cada invocação de ferramenta e modelo com parâmetros exatos, identidades e hashes de saídas. O Gartner projeta que 25% das violações empresariais envolverão agentes de IA até 2028. O roadmap da especificação lista segurança empresarial como uma prioridade de 2026 mas provavelmente será a menos definida de quatro áreas de foco, segundo o mantenedor líder David Soria Parra.

Implante quatro pontos de aplicação: validação de entrada em nível de manipulador, plano de gerenciamento isolado, lista de saída permitida com tokens com escopo e fixação de manifesto com revisão de diff. Trate o gateway como um controle, não como proxy para todos eles.