Auditoria de Servidores MCP para Envenenamento de Ferramentas

Aviso de uso autorizado: A auditoria de servidores MCP pode se conectar e sondar endpoints de ferramentas ativas. Escaneie apenas servidores que você possui ou tem autorização para avaliar. Trate as descrições de ferramentas escaneadas como entrada não confiável — não carregue um servidor MCP não auditado em um agente privilegiado. Sondar endpoints MCP de terceiros para fraquezas de SSRF ou autenticação sem permissão pode ser ilegal.

Visão Geral

O Protocolo de Contexto de Modelo (MCP) permite que agentes de IA descubram e chamem ferramentas externas anunciadas por servidores MCP. Cada ferramenta expõe um nome e uma descrição em linguagem natural que o LLM do agente lê antes de decidir chamá-la. No início de 2025, a Invariant Labs divulgou que este campo de descrição é uma superfície de ataque: um servidor malicioso pode incorporar instruções ocultas na descrição de uma ferramenta (um ataque de envenenamento de ferramentas, OWASP MCP03:2025), e um modelo capaz as seguirá silenciosamente — exfiltrando arquivos, vazando segredos ou redirecionando chamadas de ferramentas — enquanto retorna uma resposta de aparência normal ao usuário. Como as descrições de ferramentas são carregadas no contexto do agente, o envenenamento de ferramentas é efetivamente uma injeção de prompt indireta entregue através da cadeia de suprimentos (MITRE ATLAS AML.T0010 Compromisso da Cadeia de Suprimentos de ML).

Além do envenenamento, os servidores MCP introduzem riscos clássicos de infraestrutura: ocultação de ferramentas (um servidor malicioso substitui o comportamento de uma ferramenta confiável), rug pulls (a descrição de uma ferramenta muda após o usuário aprová-la), fluxos tóxicos (uma combinação de ferramentas que permite a exfiltração de dados), SSRF em ferramentas que buscam URLs no lado do servidor e exposição não autenticada de servidores MCP vinculados a interfaces de rede. Esta habilidade audita servidores MCP de ponta a ponta usando o mcp-scan da Invariant Labs para análise estática e em tempo de execução, além de verificações manuais para SSRF e autenticação, e fixação de ferramentas para capturar rug pulls.

Quando Usar

• Antes de adicionar um novo servidor MCP a uma pilha de agentes (Claude Desktop, Cursor, VS Code, Windsurf, agentes personalizados).
• Durante uma revisão de segurança de um servidor MCP desenvolvido internamente.
• Ao validar que as ferramentas aprovadas não mudaram silenciosamente (detecção de rug-pull).
• Como um portão CI/CD que escaneia configurações MCP e definições de SKILL/ferramentas a cada alteração.
• Durante a resposta a incidentes quando um agente tomou ações inesperadas consistentes com uma ferramenta envenenada.

Pré-requisitos

• Python 3.10+ e uv (para uvx), ou pip.
• O(s) arquivo(s) de configuração MCP que você deseja escanear (por exemplo, ~/.cursor/mcp.json, ~/.vscode/mcp.json, configuração do Claude Desktop).
• Instale as ferramentas:

# uv provides uvx (recommended runner for mcp-scan)
curl -LsSf https://astral.sh/uv/install.sh | sh    # or: pipx install uv

# mcp-scan (Invariant Labs) — no global install needed with uvx
uvx mcp-scan@latest --help

# For the runtime proxy mode (separate extra)
uvx --with "mcp-scan[proxy]" mcp-scan@latest proxy --help

# Manual probing helpers
pip install requests mcp

Objetivos

• Escanear estaticamente todos os servidores MCP instalados para envenenamento de ferramentas, ocultação de ferramentas, rug pulls e fluxos tóxicos.
• Inspecionar descrições brutas de ferramentas/prompts/recursos em busca de instruções ocultas ou ofuscadas.
• Fixar hashes de ferramentas para detectar alterações de descrição pós-aprovação (defesa contra rug-pull).
• Testar ferramentas de busca de URL para falsificação de solicitação do lado do servidor (SSRF).
• Verificar se os servidores MCP estão autenticados e não expostos em interfaces não confiáveis.
• Opcionalmente, impor salvaguardas em tempo de execução com o proxy mcp-scan.

Mapeamento MITRE ATT&CK

Fluxo de Trabalho

1. Análise estática das configurações MCP instaladas

mcp-scan descobre automaticamente locais de configuração conhecidos; você também pode passar um caminho explicitamente.

# Scan all auto-discovered MCP configs
uvx mcp-scan@latest

# Scan a specific config file
uvx mcp-scan@latest ~/.vscode/mcp.json

# Emit machine-readable JSON for CI
uvx mcp-scan@latest --json ~/.cursor/mcp.json > mcp_scan_report.json

mcp-scan sinaliza envenenamento de ferramentas, ocultação de ferramentas, escalonamento cross-origin, rug pulls e fluxos tóxicos.

2. Inspecionar descrições brutas de ferramentas

…