Como servidores MCP podem vazar segredos corporativos
Servidores MCP, a peça que conecta agentes de IA a ferramentas e dados internos, costumam guardar credenciais em texto plano e herdar permissões amplas do ambiente de desenvolvimento. Somado à exposição a prompt injection indireta, isso cria uma superfície de ataque que boa parte das equipes de segurança ainda não mapeou -- e que já foi explorada na prática, como mostra a CVE-2025-6514 no pacote mcp-remote.
O Model Context Protocol (MCP) se tornou o padrão de fato para conectar agentes de IA — como assistentes de código e copilotos corporativos — a ferramentas, bancos de dados e APIs internas. A reportagem do The Hacker News reúne um panorama de como esses servidores estão sendo implantados nas empresas com práticas de segurança que ainda pertencem à era pré-IA: muitos rodam sem inventário, sem dono claro e sem que o time de segurança saiba da sua existência.
Tecnicamente, o problema se manifesta em três frentes que se reforçam. Primeiro, servidores MCP armazenam os tokens e chaves que usam para acessar sistemas corporativos diretamente em arquivos de configuração em texto plano — arquivos que acabam copiados entre máquinas, ignorados por .gitignore incompletos ou comitados por acidente em repositórios. Segundo, é comum que esses servidores herdem permissões amplas concedidas durante o desenvolvimento ('só para funcionar') e nunca tenham esse escopo reduzido em produção, violando o princípio do menor privilégio. Terceiro, como o MCP existe justamente para dar a um agente de IA contexto vindo de documentos e páginas externas, uma instrução maliciosa escondida nesse conteúdo pode ser interpretada pelo agente como comando legítimo — prompt injection indireta, mas com o agravante de que o agente já está de posse de credenciais reais.
O risco não é hipotético: o artigo cita a CVE-2025-6514, uma falha de injeção de comando de sistema operacional no pacote mcp-remote (mais de 400 mil downloads), que permitia a um servidor MCP malicioso comprometer a máquina do cliente que se conectasse a ele. Isso mostra que a cadeia de suprimentos em torno de servidores MCP já foi explorada na prática, não apenas em prova de conceito acadêmica.
Na prática, isso interessa a qualquer organização que esteja conectando agentes de IA a sistemas internos: um único servidor MCP comprometido ou malicioso, somado a credenciais mal guardadas e permissões excessivas, vira uma ponte direta para exfiltração de segredos corporativos — muitas vezes sem deixar rastro nos controles tradicionais de segurança, que não foram desenhados para monitorar tráfego entre agente e servidor MCP.