AEGIS propõe política unificada contra abuso de recursos em ferramentas MCP
Pesquisadores apresentam o AEGIS, um componente de aplicação de políticas para o Model Context Protocol (MCP) que normaliza chamadas de ferramentas multimodais (texto, imagem, vídeo, localização) em uma representação única para detectar e barrar abusos de recursos. O sistema se integra ao Open Policy Agent e ao ContextForge AI Gateway para permitir que administradores definam salvaguardas granulares sem travar a flexibilidade do ecossistema de agentes.
O Model Context Protocol (MCP) virou o padrão de fato para conectar modelos de linguagem a ferramentas externas via JSON-RPC, mas essa mesma flexibilidade abre uma superfície de ataque pouco discutida: um agente comprometido ou mal calibrado pode solicitar operações desproporcionais — um raio de busca geográfico absurdamente grande, vídeos de duração excessiva, consultas que varrem bases inteiras — e derrubar a qualidade de serviço de toda a aplicação por exaustão de recursos, efetivamente uma negação de serviço induzida pelo próprio agente.
O desafio técnico central é que cada modalidade de ferramenta MCP tem seu próprio esquema de parâmetros, o que torna inviável escrever regras de política genéricas que sejam ao mesmo tempo precisas e abrangentes. O AEGIS resolve isso usando a própria capacidade de raciocínio de LLMs para traduzir invocações heterogêneas de ferramentas em uma representação normalizada e amigável a políticas, que então é avaliada por um motor de regras (Open Policy Agent) integrado a um gateway de IA (ContextForge). Isso desacopla a lógica de detecção de abuso do formato específico de cada ferramenta.
Na prática, isso significa que times de segurança que operam gateways de agentes de IA ganham um ponto de controle único para impor limites (tamanho de payload, custo computacional, escopo geográfico ou temporal da consulta) independente de qual ferramenta ou modalidade está sendo chamada, sem precisar escrever uma política ad hoc para cada integração nova. É um passo importante de maturidade operacional para ecossistemas agentic em produção, que hoje frequentemente conectam dezenas de ferramentas de terceiros com esquemas de request inconsistentes.
O valor prático do trabalho está mais na arquitetura de enforcement do que em uma vulnerabilidade específica: é uma peça defensiva para quem já opera infraestrutura MCP em escala e precisa de guardrails de custo/DoS, e deve interessar diretamente equipes de plataforma que hospedam agentes de terceiros com acesso a ferramentas caras (busca, geração de mídia, APIs pagas).