Protocolo de Contexto do Modelo Através da Perspectiva da Pilha de Agentes: O Que Quebrou, O Que Foi Corrigido e O Que Verificar Antes do Próximo mcp.json

Se você adicionou um servidor MCP a um claude_desktop_config.json ou a um arquivo mcp.json este ano copiando e colando uma string de conexão, este é para você. Este não é um post sobre "MCP é bom ou ruim" — é uma análise exata do que quebrou no nível do protocolo em 2026, o que será lançado em seis dias para corrigir parte disso, e as verificações específicas que vale a pena adicionar ao seu próprio processo de revisão antes que o próximo servidor seja instalado.

Em 15 de abril de 2026, a OX Security divulgou uma falha presente em todos os SDKs oficiais do Model Context Protocol — Python, TypeScript, Java, Rust. Todos os quatro. A Anthropic confirmou que o comportamento era intencional. Depois, recusou-se a mudá-lo.

A falha permitia que qualquer um que pudesse influenciar o arquivo de configuração de um servidor executasse comandos shell arbitrários na máquina host. A OX Security contou mais de 200.000 instâncias vulneráveis dentro de uma cadeia de suprimentos de mais de 150 milhões de downloads.

Eu conecto novos servidores MCP na maioria das semanas. Nunca perguntei se o protocolo em si, a fiação por trás de cada servidor em que confio, foi enviado com uma decisão de design que ninguém estava disposto a reverter. Agora eu pergunto.

Onde o MCP Se Encontra na Pilha de Agentes

Eu mapeio cada sistema de IA que construo contra a EchoNerve Agent Stack™ — seis camadas: Modelos, Ferramentas, Memória, Agentes, Fluxos de Trabalho, Aplicações. O MCP vive quase inteiramente na camada de Ferramentas, onde um modelo alcança fora de si e chama um banco de dados, um sistema de arquivos, uma API.

Antes do MCP, cada uma dessas conexões era código personalizado. O MCP substituiu isso por uma interface compartilhada — qualquer cliente compatível com MCP pode chamar qualquer servidor compatível da mesma maneira. A camada de Ferramentas decide o que um agente pode tocar no mundo real. Uma saída ruim da camada de Modelos produz uma frase errada. Uma conexão ruim da camada de Ferramentas produz uma ação errada, contra um sistema real.

Veja como isso se parece concretamente. Uma entrada .mcp.json como esta concede a um agente acesso total de leitura/gravação a um banco de dados de produção em um bloco de configuração, sem nenhuma revisão na frente:

{
  "mcpServers": {
    "postgres-prod": {
      "command": "npx",
      "args": ["-y", "@some/postgres-mcp-server"],      "env": {
        "DATABASE_URL": "postgres://user:pass@prod-host:5432/db"      }
    }
  }
}

Antes do MCP, esse acesso exigia uma integração personalizada e geralmente a aprovação de um segundo engenheiro. O MCP comprimiu todo o processo em um bloco copiado e colado. A conveniência é real. Assim como o fato de que a etapa de revisão foi comprimida junto com isso.

A Falha Que a Anthropic Não Vai Corrigir

O transporte STDIO do MCP — a interface de processo local que a maioria das ferramentas de desktop e desenvolvimento usa — passa valores de configuração diretamente para a execução de shell, sem nenhuma etapa de sanitização entre eles. Se um atacante puder influenciar esse arquivo de configuração (um pacote npm malicioso, uma cadeia de ferramentas comprometida, um insider com acesso de gravação), seu comando será executado na sua máquina. Ele será executado mesmo que o servidor MCP alvo nunca inicie com sucesso.

A vulnerabilidade agora possui um identificador formal: CVE-2026-30623. A OX Security a encontrou presente em todos os quatro SDKs oficialmente suportados simultaneamente — não é um bug na implementação de uma equipe, é uma decisão incorporada na arquitetura de referência que cada servidor downstream copiou.

Uma verificação rápida de sanidade que você pode realizar hoje: audite quais dos seus servidores configurados realmente operam sobre STDIO com valores de ambiente que você não controla totalmente, em comparação com um transporte remoto com uma verdadeira barreira de autenticação na frente dele.

# tentativa rudimentar de detectar servidores STDIO com segredos inline na sua configuração
jq -r '.mcpServers | to_entries[] | select(.value.command != null) | .key' ~/.config/*/mcp.json 2>/dev/null

Adapte o caminho para onde seu cliente armazena sua configuração — o ponto é apenas parar de confiar em um servidor pelo nome e começar a verificar o transporte + a exposição de credenciais por entrada.

A Contaminação de Ferramentas Não Precisa do CVE

Um segundo padrão de ataque atingiu a camada de Ferramentas com a mesma força, e não precisa de um bug em nível de protocolo. A contaminação de ferramentas oculta uma instrução maliciosa dentro do campo de descrição de uma ferramenta — o texto que o modelo lê para decidir como e quando chamá-la. O modelo a segue. Nada sobre a solicitação parece anormal do lado de fora.

Em março de 2026, mais de 340 desenvolvedores instalaram um servidor publicado como mcp-jira-sync antes que alguém o pegasse. Sua ferramenta list_issues carregava uma instrução oculta em seu campo de descrição que fazia com que os agentes conectados incluíssem o conteúdo do arquivo local ~/.aws/credentials em cada chamada de API enviada de volta ao servidor do atacante. Ninguém precisava clicar em nada.

A Koi Security encontrou um padrão semelhante em um pacote npm chamado postmark-mcp, que enviou quinze lançamentos limpos antes que a versão 1.0.16 silenciosamente adicionasse uma linha que BCC'd cada e-mail que um agente enviou através dele para a caixa de entrada de um atacante.

Um censo independente contabilizou 17.468 servidores MCP indexados com base em documentação, manutenção e confiabilidade. Apenas 12,9% passaram em um alto padrão de confiança. Uma revisão separada de ~1.400 servidores descobriu que 38,7% foram enviados sem autenticação alguma.

A Atualização da Especificação Chegando em 28 de Julho

A versão candidata da especificação MCP de 2026-07-28 reconstrói a autorização em torno do OAuth 2.1 e OpenID Connect. Os clientes validarão o emissor do token em cada resposta de autorização de acordo com o RFC 9207, fechando uma verdadeira classe de ataque de confusão onde a resposta de um servidor de autenticação é reproduzida contra um servidor diferente que se faz passar por ele. A especificação também elimina sessões fixas obrigatórias, para que um servidor MCP remoto possa ficar atrás de um balanceador de carga round-robin comum.

O que ela não faz: corrigir retroativamente as 200.000 instâncias STDIO vulneráveis, ou impedir que um mantenedor envie uma descrição de ferramenta contaminada após a atualização. Ela fornece aos autores de servidores uma maneira padrão de lidar com a autorização. Não faz o trabalho por eles.

Lista de Verificação Antes de Seu Próximo mcp add

1. Verificação de transporte — servidor STDIO com configuração que você não controla totalmente recebe uma análise extra antes de tocar em qualquer coisa com credenciais reais por perto.
2. Leia as descrições das ferramentas — trate cada campo que o modelo lê como um PR de um estranho, não apenas o código.
3. Ignore a contagem de instalações como um sinal de confiança — verifique a atividade de manutenção e os requisitos de autenticação em vez disso.
4. Registre chamadas de ferramentas — parâmetros e identidade anexados, de acordo com a orientação de maio de 2026 da NSA, mesmo para servidores que você confia hoje.
5. Post–Ju