Ataques de fragmentação entre canais driblam defesas de injeção de prompt em pipelines MCP com até 100% de sucesso

O Model Context Protocol (MCP) foi desenhado para permitir que LLMs chamem ferramentas externas, mas isso significa que o modelo passa a receber texto potencialmente controlado por um atacante através de múltiplos canais distintos — a descrição da própria ferramenta, o resultado que ela retorna e mensagens de sampling — todos compartilhando a mesma janela de contexto, sem qualquer separação de privilégio entre eles. A maioria das defesas de injeção de prompt hoje avalia cada canal isoladamente, procurando um payload completo e obviamente malicioso dentro de um único campo de entrada.

A contribuição central do artigo é mostrar que essa premissa está errada: os autores desenvolvem "ataques de fragmentação entre canais", em que o payload malicioso é dividido em pedaços que, isoladamente, parecem inofensivos e passam por qualquer filtro de canal único, mas que o LLM recompila mentalmente ao processar o contexto completo, reconstituindo instruções suficientes para exfiltrar credenciais. O resultado é dramático: modelos que bloqueavam 100% das tentativas de injeção em canal único (ou seja, pareciam totalmente robustos) passaram a vazar dados em até 100% dos casos quando o mesmo payload era fragmentado em dois canais — entre eles GPT-4o, Llama 70B, Composer 2 e Haiku 4.5.

Os autores também demonstram duas variações adicionais preocupantes: exploração "alinhada a valor", em que o próprio propósito declarado da ferramenta já justifica o acesso ao dado que o atacante quer roubar (o que torna a chamada legítima aos olhos de qualquer heurística de menor privilégio), e uma sobreposição de system prompt via mensagens de sampling que injeta instruções persistentes através da implementação MCP do VS Code — ou seja, um vetor específico contra um cliente de desenvolvimento amplamente usado. Ao testar sete ferramentas de segurança MCP de terceiros e três defesas baseadas em prompt contra esses ataques, nenhuma detectou os payloads fragmentados, e as defesas baseadas em prompt se mostraram específicas por modelo, não generalizáveis.

O recado prático é que segurança de MCP não pode se apoiar apenas em filtros de conteúdo por canal: como o próprio protocolo não impõe separação de privilégio entre canais de entrada, qualquer defesa robusta precisa analisar o contexto completo agregado que o modelo efetivamente recebe, e não cada campo isoladamente. Para quem está integrando ferramentas via MCP em produção, o estudo é um alerta de que testes de segurança que só cobrem injeção de canal único dão uma falsa sensação de robustez, escondendo uma superfície de ataque inteira que só aparece quando múltiplos canais são combinados deliberadamente.