TrustShiftProbe expõe ataques de 'mudança de confiança' em servidores MCP comprometidos
Pesquisadores propõem o TrustShift, uma classe de ataque em que um servidor MCP se comporta de forma benigna durante uma fase de condicionamento inicial para conquistar a confiança do agente, e só então libera um payload adversarial. A defesa proposta, SHIELD, reduz a taxa de sucesso do ataque de 69,5% para 42,7%, mas deixa um resíduo alto.
O Model Context Protocol (MCP) se tornou a camada padrão que conecta agentes LLM a backends de ferramentas externas, e essa abertura cria uma superfície de ataque pouco explorada: e se o próprio servidor MCP, confiável por definição, for malicioso desde o início mas escolher esperar? É essa a pergunta que o artigo chama de TrustShift — um servidor comprometido age de forma honesta durante uma fase inicial, construindo dependência operacional e reduzindo o ceticismo do agente, até defeccionar para um payload adversarial depois que um limiar de interações é atingido.
O ponto técnico central é que essa evasão é temporal, não sintática: análise estática pré-implantação só observa a fase honesta do servidor e não tem como prever a defecção futura, e o ataque se origina no canal de ferramentas controlado pelo servidor, diferente de injeção de prompt indireta (que vem de conteúdo fornecido pelo usuário) ou de um ataque man-in-the-middle (que ataca o transporte). Os payloads variam de violações estruturais evidentes a manipulações "schema-valid", que preservam conformidade sintática do protocolo justamente para escapar de filtros de middleware em runtime que só checam estrutura. Os autores catalogam nove variantes cruzando três mecanismos de execução (violação estrutural, corrupção semântica, expansão de escopo) com três objetivos adversariais (disrupção, exfiltração e a combinação dos dois).
Isso importa porque a maior parte dos ecossistemas de MCP hoje trata confiança em servidores como algo avaliado uma vez (checagem inicial, vetting de marketplace) e depois assumido como estável indefinidamente. O TrustShift mostra que esse modelo é insuficiente: existe uma superfície de ataque de deriva comportamental ao longo do tempo que passa despercebida pelos guardas de runtime atuais, focados em validar apenas a conformidade de schema da mensagem, não seu histórico comportamental.
A defesa proposta, SHIELD, audita os payloads do servidor comparando-os com linhas de base comportamentais aprendidas durante janelas de confiança limpas, sem precisar de um oráculo externo do que é malicioso. Mesmo assim, a redução de 69,5% para 42,7% de taxa de sucesso mostra que o problema está longe de resolvido — quase a metade dos ataques ainda passa mesmo com a defesa ativa, o que sinaliza que confiança temporal em servidores MCP continua sendo um ponto fraco estrutural do ecossistema de agentes.