Descoberta e escopo
Sistemas de inteligência artificial expostos à internet estão se tornando um novo alvo para atacantes oportunistas. Atividade recente de varredura mostra que atores de ameaças estão buscando ativamente servidores do Protocolo de Contexto de Modelo (MCP), arquivos de configuração de assistentes de IA e serviços locais de modelos de linguagem expostos. A atividade foi observada em sites de baixo tráfego que não pareciam hospedar infraestrutura de IA, sugerindo um reconhecimento amplo em vez de uma intrusão direcionada contra uma organização ou desenvolvedor específico.
Analistas do Internet Storm Center identificaram a atividade ao revisar logs de Apache e ModSecurity de um pequeno provedor de hospedagem. Os pesquisadores encontraram cerca de 200 solicitações ligadas ao reconhecimento de agentes de IA, com sondas de handshake MCP originadas de 49 endereços IP de origem separados. As varreduras refletem um problema de segurança crescente em torno de implantações de IA.
Análise técnica detalhada
A parte mais notável da atividade foi o uso de solicitações de inicialização MCP válidas, em vez de verificações de caminho simples. Em vez de perguntar se um endereço da web existe e seguir em frente, os scanners enviaram mensagens JSON-RPC corretamente formadas projetadas para iniciar uma conversa MCP. Essa abordagem permite que um atacante determine se um serviço alcançável se comporta como um servidor MCP.
Se um servidor responder, a próxima etapa pode envolver a identificação de ferramentas disponíveis, fontes de dados conectadas e ações que o agente de IA tem permissão para executar. Servidores MCP podem dar a agentes de IA acesso a bancos de dados, APIs internas, sistemas de arquivos, ferramentas de tickets e outros recursos de negócios. Quando um servidor é exposto sem autenticação, ele pode efetivamente fornecer a estranhos um mapa legível por máquina de serviços e dados que o agente pode alcançar.
A propagação das sondas também aponta para uma campanha maior. As solicitações vieram de muitos endereços IP diferentes, fazendo com que a atividade parecesse menos como teste acadêmico e mais como uma varredura distribuída em toda a internet destinada a encontrar implantações vulneráveis em escala.
Riscos de credenciais e modelos
A mesma atividade de varredura procurou arquivos vinculados a assistentes de codificação de IA, incluindo arquivos de configuração e credenciais que os desenvolvedores podem colocar acidentalmente dentro de um diretório web implantado. Esses arquivos podem conter detalhes de conexão, configurações de serviço e segredos potencialmente valiosos. O uso de verificações de existência leves contra arquivos relacionados a credenciais sugere que os operadores estão otimizando suas varreduras para um grande número de alvos.
Pesquisadores também viram tentativas repetidas de localizar interfaces de serviço de modelo sem autenticação. Um endpoint de modelo publicamente alcançável pode dar a um atacante acesso gratuito a recursos de computação, revelar modelos instalados ou se tornar um ponto de apoio para atividade adicional dentro do ambiente.
As varreduras foram acompanhadas por tentativas de abusar de server-side request forgery (SSRF) contra serviços de metadados da nuvem. Essa técnica é especialmente relevante para ferramentas de IA porque agentes e serviços auxiliares frequentemente incluem recursos que recuperam conteúdo de endereços da web fornecidos pelo usuário.
Indicadores de comprometimento (IoCs)
Os defensores devem verificar sistemas expostos à internet de fora de suas redes, garantir que arquivos de configuração relacionados à IA não sejam servidos por servidores web e revisar funções de busca de URL para proteções contra destinos internos e de metadados da nuvem. Os ambientes de nuvem também devem impor proteções de serviço de metadados disponíveis, incluindo implementação de cabeçalhos GCP e AWS IMDSv2.
Os indicadores de comprometimento incluem endpoints como POST /mcp para inicialização JSON-RPC, GET /sse para transporte de eventos enviados pelo servidor, e arquivos de configuração como .claudemcp.json e .claude.credentials.json. Tentativas de SSRF contra metadata.google.internal e o IP 169.254.169.254 também são sinais claros de atividade maliciosa.
Recomendações para CISOs
Organizações que operam servidores MCP devem confirmar que eles exigem autenticação forte e não podem ser alcançados diretamente da internet pública, a menos que essa exposição seja estritamente necessária. Limitar o acesso à rede também reduz a chance de que um scanner descubra o serviço em primeiro lugar. As organizações devem revisar os logs de acesso para tráfego MCP suspeito e tratar solicitações como sinais de reconhecimento úteis se não usarem MCP.
A segurança de IA deve ser integrada aos programas de segurança da informação existentes, com foco na proteção de credenciais, configuração de rede e monitoramento de tráfego anômalo em serviços de IA.
Perguntas frequentes
O que é o Protocolo de Contexto de Modelo (MCP)?
Um protocolo que permite que agentes de IA se conectem a fontes de dados e ferramentas externas.
Por que os servidores MCP são alvos?
Eles podem fornecer acesso a bancos de dados, APIs e recursos de negócios se não estiverem protegidos.
Como proteger contra essas varreduras?
Implemente autenticação forte, limite o acesso à rede e monitore logs de tráfego para padrões de handshake MCP.