Conferir quem publicou cada plugue que liga o agente aos sistemas

Aprovar uma integração de agente sem inventariar credencial deixa a empresa exposta a um servidor de terceiro rodando com acesso ao seu banco. MCP é o padrão que liga um agente aos sistemas da empresa, como uma tomada de padrão único no lugar de um adaptador para cada aparelho.

A cadeia tem três peças. O host é a ferramenta que o time abre. O cliente é a parte dele que fala o protocolo, e o servidor publica as ferramentas e guarda a credencial.

Duas mudanças recentes interessam a quem decide. Desde dezembro de 2025, o protocolo integra a Agentic AI Foundation, da Linux Foundation. Governança aberta ajuda a coordenar fornecedores, mas não certifica a segurança de cada integração.

A especificação de 28/07/2026 passou a usar um núcleo sem estado: cada pedido leva seu contexto, sem depender de uma sessão do protocolo, o que exige conferir a compatibilidade de cliente e servidor.

Roots, Sampling e Logging foram depreciados, com retirada futura anunciada, mas continuam disponíveis por pelo menos doze meses no protocolo. Essa janela não é garantia contratual de suporte de cada fornecedor. A revisão também reforçou a vinculação da credencial ao emissor da autenticação, sem tornar confiável o conteúdo recebido.

O risco mudou de lugar. Servidor MCP é software de terceiro rodando com a sua credencial, e a auditoria de entrada não protege da atualização maliciosa que vem depois, o que o mercado chama de rug pull.

Foi essa suposição que a operação SmartLoader explorou em fevereiro de 2026, ao submeter um servidor falso a um registro legítimo depois de manter contas plausíveis por três meses. A defesa contra atualização maliciosa é fixar versão e revisar a mudança antes de aceitá-la.

Agosto trouxe uma variante mais difícil de pegar. A campanha Deadbugz, descrita pela Pillar Security em 12/08/2026, espalhou um servidor MCP malicioso em 23 pedidos de mudança a projetos de IA e de ferramentas de desenvolvimento.

O servidor se comporta bem nas primeiras chamadas. A partir da terceira, manda o agente procurar chaves SSH, credenciais de nuvem e o histórico do terminal, e por isso a vigilância precisa continuar depois da instalação.

A especificação padroniza como o pedido e a autorização são comunicados. O que o agente consegue fazer continua definido pela credencial e pelo escopo que a sua empresa concedeu àquele servidor, não pela versão do protocolo.

Doze meses entre depreciação e remoção também não garantem continuidade. Ela fala do protocolo, e o fornecedor do servidor segue livre para abandoná-lo, mudar o preço ou alterar o comportamento na semana seguinte.

Peça a lista dos servidores MCP ligados ao agente, com quem publicou, qual credencial cada um carrega e em que versão está fixado. Marque os que escrevem no seu sistema, exija teto por operação e registro de quem aprovou, e tire da lista qualquer servidor sem dono identificado ou sem versão fixada.