FlowGuard usa evidência de execução real para reduzir falsos positivos na detecção de riscos em servidores MCP
FlowGuard é um sistema de detecção de segurança para o Model Context Protocol (MCP) que combina análise semântica de metadados com verificação de evidência em tempo de execução, evitando o problema comum de scanners que classificam qualquer string parecida com credencial como vazamento real. Testado contra 1.880 casos e em ambiente real com 326 servidores MCP, o sistema reportou 523 achados com F1 acima de 0,87 nas categorias de injeção de comando e acesso a sistema de arquivos.
O MCP permite que agentes LLM invoquem ferramentas externas trocando metadados, chamadas de função e respostas. Scanners de segurança existentes para MCP hoje se apoiam quase exclusivamente em sinais semânticos suspeitos — por exemplo, uma string que se parece com uma chave de API —, o que gera muitos falsos positivos quando esse conteúdo é apenas um placeholder inofensivo no código.
O FlowGuard combina cinco etapas: triagem semântica de risco, estreitamento de payload guiado por reconhecimento prévio, geração de probes válidas conforme o schema declarado pela ferramenta, adjudicação de evidência e refinamento guiado por histórico de execuções anteriores. Riscos ligados a execução real, como injeção de comando ou acesso indevido ao sistema de arquivos, são confirmados observando o comportamento efetivo do servidor MCP sob teste, e não apenas inferidos a partir do texto de metadados.
Com a proliferação de servidores MCP de terceiros conectados a agentes de codificação e assistentes corporativos, a superfície de ataque cresce rapidamente, e a qualidade dos scanners de triagem determina diretamente quantos alertas reais chegam a um time de segurança versus quanto ruído é gerado. A redução de latência de até 2,23x em relação a scanners dinâmicos existentes também é relevante para viabilizar varredura contínua nesse ecossistema em expansão.
A avaliação em 326 servidores MCP reais, que produziu 523 achados concretos com F1 de 0,879 para injeção de comando e 0,942 para acesso a sistema de arquivos, indica que o problema não é hipotético: há vulnerabilidades exploráveis circulando no ecossistema MCP hoje, reforçando a necessidade de scanners que verifiquem evidência de execução real em vez de apenas analisar metadados estaticamente.