A promessa do MCP é elegante: oferecer aos agentes uma forma consistente e auditável de chamar ferramentas. Mas uma nuance crítica está surgindo — após um usuário autorizar um servidor, a superfície de risco não diminui; ela se desloca. Uma instrução oculta na resposta ou contexto do servidor pode induzir o modelo a usar as próprias ferramentas que tem permissão para chamar, agora orientadas a vazar tokens, chaves de API ou dados internos. Isso não é um jailbreak no sentido clássico; é um ataque de direcionamento pós-aprovação que aproveita uma capacidade legítima.
O padrão é enganadoramente simples. Um usuário aprova um servidor e um conjunto de ferramentas. Depois, o servidor retorna uma carga aparentemente inofensiva que inclui instruções estrategicamente elaboradas. O modelo, operando dentro das permissões concedidas, obedece: invoca um comando aprovado, lê um arquivo ou variável de ambiente e transmite o resultado para um endpoint controlado por um atacante. Como cada passo está tecnicamente dentro do escopo, verificações de política ingênuas passam e filtros tradicionais de jailbreak raramente disparam. O limite de confiança mudou do clique do botão para todo o ciclo de conversação e invocação de ferramentas.
Para empresas que testam fluxos de trabalho agenticos, as implicações são operacionais, não teóricas. Controles de segurança devem governar como, quando e com quais parâmetros as ferramentas podem ser usadas — especialmente para acesso a segredos, introspecção do sistema e chamadas de rede externas. Equipes de conformidade e auditoria devem tratar servidores MCP como software de terceiros: exigir atestações, isolá-los via controles de rede e namespace, rotacionar credenciais efêmeras e exigir logs à prova de adulteração. O mais importante, separar a autoridade para aprovar uma ferramenta das circunstâncias que permitem seu uso em uma solicitação específica.
Mitigações existem, mas precisam ser precisas. Aplique listas de permissão de parâmetros e negue curingas perigosos por padrão. Exija confirmações fora da banda para operações de alto risco (leitura de segredos, gravação de arquivos, postagem em URLs externas). Use assinatura criptográfica das respostas do servidor e vincule aprovações a sessões de curta duração com escopos restritos. Insira um firewall de contexto para remover ou isolar instruções que busquem ferramentas originadas de conteúdo não confiável. Por fim, monitore padrões coercitivos — exfiltração súbita de dados, esquiva repetida de esquema ou modelos repetindo instruções para divulgar tokens — e revogue sessões automaticamente quando detectados.