Pesquisadores demonstraram ataques que exploram a função de amostragem do Model Context Protocol (MCP), permitindo que servidores maliciosos injetem instruções ocultas em solicitações a LLMs e drenem quotas de computação e créditos de API.
Descoberta e escopo / O que mudou agora
Relatório publicado por equipes de pesquisa e citado por Palo Alto Networks mostra que a função de sampling do MCP — protocolo lançado pela Anthropic em 2024 para integrar LLMs a ferramentas externas — pode ser abusada por servidores MCP maliciosos. Os testes foram realizados contra um copilot de código amplamente usado; os pesquisadores demonstraram três vetores principais: roubo de recursos, sequestro de conversas e invocação covert de ferramentas.
Vetor e exploração / Mitigações
O ataque de roubo de recursos insere instruções ocultas em solicitações de amostragem, levando o modelo a gerar conteúdo adicional não visível ao usuário e consumir tokens e ciclos de computação. Em demonstrações, uma extensão de sumarização de código inseriu instruções para produzir histórias fictícias paralelas à análise legítima do código, esgotando créditos sem alertar o operador.
O vetor de sequestro de conversas injeta instruções persistentes que alteram o comportamento do assistente ao longo de toda a sessão — os exemplos mostram respostas adulteradas em interações subsequentes. Já a invocação covert de ferramentas permite que o LLM execute chamadas a ferramentas (escrita de arquivos, operações de I/O) sem aprovação explícita do usuário, possibilitando exfiltração e modificações de sistema.
As recomendações operacionais citadas pelos autores e por Palo Alto Networks incluem: sanitização estrita das requisições (templates que separam conteúdo do usuário de modificações do servidor), filtragem de respostas para eliminar frases com características de instrução, controles de acesso que limitem capacidades de servidores MCP e limites de tokens por tipo de operação. Também é sugerido exigir aprovação explícita para execução de ferramentas e avaliar soluções de proteção em runtime para infraestruturas AI.
Impacto e alcance / Setores afetados
O problema afeta integradores de LLMs que aceitam completions de servidores MCP externos — especialmente serviços de copiloto, assistentes empresariais e pipelines que delegam parte do contexto a servidores terceiros. Organizações que cobram por uso de tokens ou que possuem cotas de API estão em risco financeiro direto; ambientes de desenvolvimento com copilots integrados também ficam expostos a roubo de propriedade intelectual.
Limites das informações / O que falta saber
O material disponível descreve provas de conceito e recomendações gerais; não há, nas fontes consultadas, indicadores de compromisso (IOCs) públicos nem registros de exploração massiva em produção. Tampouco foi divulgada uma lista exaustiva de produtos afetados ou versões vulneráveis — os testes citados referem-se a um copilot de código amplamente usado, sem nomear fornecedores específicos além do MCP como especificação. Em função disso, equipes de resposta devem priorizar avaliações internas do uso do MCP e contactar fornecedores dos copilots empregados.
Repercussão / Próximos passos
O caso ressalta a necessidade de securizar camadas que, até então, eram tratadas como infraestrutura de conveniência para integração de LLMs. Fornecedores de plataformas de LLM e clientes corporativos precisam: revisar modelos de confiança embutidos em protocolos de integração; aplicar filtros de conteúdo e metadata que detectem instruções embutidas; e incluir testes de abuso em avaliações de segurança de soluções agenticas. Onde aplicável, equipes jurídicas e de conformidade devem avaliar impactos contratuais e financeiros.
Fontes
Relatos e recomendações citadas por Palo Alto Networks e por reportagem publicada no site Cyber Security News.