Levantamento da OX Security expõe falta de governança em 15,4 mil servidores MCP públicos

O MCP (Model Context Protocol) se consolidou rapidamente como padrão para conectar modelos e agentes de IA a ferramentas e fontes de dados externas, e um ecossistema de milhares de servidores de terceiros cresceu em torno dele. A pesquisa da OX Security mapeou esse ecossistema em escala, varrendo cinco registros públicos de servidores MCP e consolidando 15.465 entradas em 5.095 hostnames distintos — um retrato da superfície real de infraestrutura que agentes corporativos acabam consumindo quando instalam integrações de terceiros.

Três problemas técnicos concretos se destacam. Primeiro, 15,6% dos servidores estão hospedados fora dos EUA, incluindo instâncias na China e na Rússia, o que significa que dados e credenciais trafegados por agentes conectados a essas integrações podem transitar por jurisdições fora do controle regulatório esperado pela organização que os usa. Segundo, uma fração dos servidores (0,45%) roda sobre serviços de tunelamento como o ngrok, ou seja, sobre máquinas pessoais ou redes domésticas sem os controles de seguranças de um ambiente de produção — uma dependência crítica de disponibilidade e integridade apoiada em infraestrutura efêmera e não gerenciada. Terceiro, e mais grave do ponto de vista de cadeia de suprimentos: 2,3% dos domínios usados por esses servidores já não resolvem mais e podem ser re-registrados por terceiros por apenas 4 a 12 dólares por ano, permitindo que um atacante assuma a identidade de um servidor MCP previamente confiável e comece a receber, sem qualquer esforço de engenharia social, as requisições de agentes que ainda apontam para aquele endereço.

O problema estrutural de fundo, segundo a pesquisa, é que os marketplaces de MCP não têm equivalente aos processos de revisão de segurança que existem (ainda que imperfeitamente) em lojas de extensões de navegador ou de pacotes npm: não há garantia de que o código executado remotamente pelo servidor corresponda ao que está publicado no repositório público, o que significa que mesmo uma auditoria cuidadosa do código-fonte declarado não protege o agente que efetivamente se conecta ao servidor em produção.

Na prática, isso configura um vetor de supply chain attack específico para a cadeia de ferramentas de agentes de IA: uma organização que configura um agente para usar um servidor MCP de terceiros está, de fato, delegando execução de código e acesso a dados para uma infraestrutura cujo controle pode mudar de mãos silenciosamente (domínio expirado) ou nunca ter tido garantias de integridade (código remoto divergente do publicado). Equipes que adotam MCP deveriam tratar cada servidor externo como uma dependência de terceiros sujeita a revisão de segurança contínua — monitorando expiração de domínio, hospedagem e mudanças de comportamento — e não como uma integração configurada uma vez e esquecida.