Modelagem de Ameaças em um Servidor MCP como um Gateway Privilegiado de API

Um servidor MCP é frequentemente introduzido como um adaptador conveniente entre um assistente e uma API. Em termos de segurança, é um gateway privilegiado que aceita solicitações influenciadas por modelos.

A questão importante não é se uma ferramenta é chamada read_dashboard ou fix_incident. O que importa é quais identidades, recursos, efeitos colaterais e redes a implementação pode alcançar.

Autoridade de inventário por ferramenta

Não dê a cada ferramenta as credenciais completas do processo do servidor. Separe identidades de leitura e escrita, limite-as a um inquilino e classe de recurso, e crie tokens de curta duração próximos à execução.

Trate argumentos como não confiáveis

const Restart = z.object({
  service: z.enum(["api", "worker"]),
  environment: z.literal("staging"),
  reason: z.string().min(20).max(500),
  operationId: z.string().uuid(),
}).strict();

Esquemas rigorosos rejeitam campos inesperados. A autorização do lado do servidor ainda deve verificar o chamador, inquilino, estado atual do recurso e versão da política. Nunca transforme uma URL, caminho, fragmento de shell, cláusula SQL ou cabeçalho fornecido por um modelo em autoridade bruta.

Para chamadas consequenciais, mostre uma pré-visualização gerada a partir de argumentos validados. Vincule a aprovação ao usuário, nome da ferramenta, argumentos canônicos, versão da política, versão do recurso e expiração. Se houver quaisquer alterações, pergunte novamente.

Registre evidências, não segredos

Registre ID da solicitação, ator, ferramenta, hash de argumento canônico, recurso alvo, decisão de política, identidade de credencial, classe de resultado e tempo. Reduza tokens, cookies, prompts contendo credenciais e respostas brutas de terceiros. Faça chamadas duplicadas de operationId retornarem o resultado original em vez de repetir um efeito colateral.

Teste a injeção de prompt na saída da ferramenta, IDs entre inquilinos, argumentos desconhecidos, aprovação obsoleta, entrega duplicada, tempo limite após uma gravação remota bem-sucedida, revogação de credenciais e redação de logs.

O repositório público MonkeyCode descreve gerenciamento de modelos, tarefas de IA, ambientes de desenvolvimento e implantação privada. Integrações no estilo MCP podem ser relevantes para tais plataformas, mas este artigo não reivindica uma implementação atual do MonkeyCode MCP nem relata um teste de segurança de uma.

Divulgação: Eu contribuo para o projeto MonkeyCode. O contexto do produto vem da documentação pública; o modelo de ameaça é independente da ferramenta.

Nomear uma capacidade como uma ferramenta não reduz sua autoridade. Projete o gateway como se a entrada não confiável pudesse alcançar todos os esquemas expostos—porque eventualmente isso acontecerá.