13 publicações marcadas com esta tag.
Pesquisadores propõem o TrustShift, uma classe de ataque em que um servidor MCP se comporta de forma benigna durante uma fase de condicionamento inicial para conquistar a confiança do agente, e só então libera um payload adversarial. A defesa proposta, SHIELD, reduz a taxa de sucesso do ataque de 69,5% para 42,7%, mas deixa um resíduo alto.
Fonte ↗Pesquisa sistemática do AP2 v0.2, protocolo do Google que permite a agentes LLM autorizar e executar pagamentos em nome do usuário, mapeia cinco fases do ciclo de vida e cinco arquiteturas de implantação, cataloga 48 ameaças via metodologia MAESTRO e demonstra provas de conceito para as oito de maior severidade.
Fonte ↗Uma falha de execução de código (CVSS 8,8) no Marimo permite que um notebook malicioso, ao ser aberto em modo de edição, dispare como subprocesso local um comando de servidor MCP definido nos metadados do próprio arquivo, sem qualquer interação do usuário com as células. O patch já está disponível desde 23 de julho.
Fonte ↗Pesquisadores apresentam o AEGIS, um componente de aplicação de políticas para o Model Context Protocol (MCP) que normaliza chamadas de ferramentas multimodais (texto, imagem, vídeo, localização) em uma representação única para detectar e barrar abusos de recursos. O sistema se integra ao Open Policy Agent e ao ContextForge AI Gateway para permitir que administradores definam salvaguardas granulares sem travar a flexibilidade do ecossistema de agentes.
Fonte ↗Um levantamento sistematiza os ataques possíveis contra agentes de IA que atuam sobre blockchains públicas via MCP, skills e tool calling, destacando que a fração de ferramentas de agentes capazes de alterar estado externo, não só ler, já passa de 65%. Os autores argumentam que a irreversibilidade das transações on-chain, a autoridade de assinatura dos agentes e a composição de ações em sequência tornam falhas comuns de agentes muito mais graves nesse contexto, e que as defesas atuais bloqueiam menos de 30% dos ataques mapeados.
Fonte ↗Servidores MCP, a peça que conecta agentes de IA a ferramentas e dados internos, costumam guardar credenciais em texto plano e herdar permissões amplas do ambiente de desenvolvimento. Somado à exposição a prompt injection indireta, isso cria uma superfície de ataque que boa parte das equipes de segurança ainda não mapeou -- e que já foi explorada na prática, como mostra a CVE-2025-6514 no pacote mcp-remote.
Fonte ↗Um recap semanal de segurança reúne vários incidentes envolvendo IA como ferramenta ou alvo de ataque: um modelo de linguagem operando de forma autônoma tentou, por 34 horas, inserir malware em um projeto open-source real usando identidades falsas e engenharia social contra mantenedores; uma variante do worm Shai-Hulud passou a explorar o Model Context Protocol Registry, afetando cerca de 440 pacotes npm; e criminosos vêm sequestrando chaves de API de modelos de IA para revenda de acesso ("LLM jacking"). O grupo norte-coreano Kimsuky também aparece rodando LLMs localmente para suas operações.
Fonte ↗Pesquisadores da Noma Security identificaram uma falha máxima (CVSS 10.0) no Ruflo, plataforma open source de orquestração de múltiplos agentes de IA usada com Claude Code e OpenAI Codex, catalogada como CVE-2026-59726 e apelidada de RufRoot. A ponte MCP do projeto expunha dezenas de ferramentas sem qualquer autenticação, permitindo execução remota de comandos e adulteração persistente da memória dos agentes. A vulnerabilidade afeta todas as versões anteriores à 3.16.3, já corrigida.
Fonte ↗Um estudo identificou 33 vulnerabilidades no protocolo de comunicação entre agentes de IA e plataformas de comércio agentico, com 100% de taxa de sucesso de ataque sempre que medida ao vivo, independentemente de qual modelo de IA o agente utiliza. Três dessas falhas se encadeiam em um sequestro completo de pagamento de ponta a ponta, e os autores propõem uma defesa de plataforma-agnóstica, PCAT, capaz de zerar a taxa de sucesso para quatro das cinco classes estruturais identificadas.
Fonte ↗Pesquisadores propoem o ChainWatch, um framework que modela a progressao de ataques contra agentes de IA baseados em Model Context Protocol (MCP) como uma cadeia de seis estagios, detectando sequencias maliciosas compostas por chamadas de ferramenta individualmente inofensivas. A abordagem ataca diretamente a limitacao das defesas atuais, que inspecionam cada chamada isoladamente e por isso nao enxergam padroes de ataque distribuidos ao longo de uma sessao.
Fonte ↗O servidor MCP oficial do Azure DevOps devolve descrições de pull requests sem sanitização, permitindo que comentários invisíveis (HTML oculto renderizado como nada na UI, mas retornado por completo pela API) injetem instruções em agentes de IA usados para revisão de código. Um atacante com apenas acesso de escrita a um projeto pode assim sequestrar o agente de um revisor com privilégios maiores, levando-o a agir fora do projeto original. Até a divulgação, a Microsoft não havia lançado correção nem atribuído CVE ao problema.
Fonte ↗Pesquisadores mapearam quase 7.600 repositórios maliciosos no GitHub, dos quais mais de 800 se passam por skills de IA ou servidores MCP para atrair desenvolvedores e usuários de agentes de IA. A campanha, batizada de FakeGit, usa perfis de desenvolvedor falsificados, READMEs convincentes e uma cadeia de execução via LuaJIT para entregar o infostealer StealC através do loader SmartLoader. O esquema já soma mais de 14 milhões de downloads e chega a explorar agentes de IA que pesquisam e instalam integrações de forma autônoma.
Fonte ↗FlowGuard é um sistema de detecção de segurança para o Model Context Protocol (MCP) que combina análise semântica de metadados com verificação de evidência em tempo de execução, evitando o problema comum de scanners que classificam qualquer string parecida com credencial como vazamento real. Testado contra 1.880 casos e em ambiente real com 326 servidores MCP, o sistema reportou 523 achados com F1 acima de 0,87 nas categorias de injeção de comando e acesso a sistema de arquivos.
Fonte ↗