O Pesadelo de AuthN/Z no MCP

A Doyensec não só mapeou a superfície de ataque do OAuth 2.0 em ambientes MCP, ela expôs uma falha estrutural: o registro dinâmico de clientes (DCR), essencial para escalar agentes de IA, virou um vetor de injeção em massa. Ataques como 'rug pulls' de clientes maliciosos e envenenamento de esquemas não são teóricos: já geraram CVEs reais com CVSS acima de 8,4 no Anthropic Filesystem Server e no GitHub Kanban MCP Server. O pior é que o novo modelo ID-JAG, promovido como padrão do futuro pelo IETF e apoiado por Okta, amplifica esses riscos ao eliminar o consentimento explícito e ignorar revogação imediata, o que significa que um único token ID-JAG comprometido pode desencadear cadeias de acesso entre múltiplos serviços sem limite de tempo ou escopo.

O DNS rebinding contra servidores WebSocket localhost não autenticados é outro ponto crítico subestimado: ele não depende de bugs de software, mas da confiança cega do navegador em respostas DNS. Um atacante pode redirecionar requisições do navegador para 127.0.0.1 e interagir com APIs internas não protegidas, como servidores de ferramentas MCP rodando localmente. A mitigação não é técnica, mas arquitetônica: autenticação obrigatória em todos os endpoints sensíveis, mesmo os 'internos'. E isso vale também para endpoints de descoberta OIDC, onde falhas de validação já permitiram mix-ups de IdP e SSRF em produção.

Empresas que implantam MCP não estão apenas integrando ferramentas, estão construindo uma nova camada de autorização frágil, onde LLMs atuam como intermediários não supervisionados entre identidade e recurso. Sem mTLS, sem namespacing rigoroso de escopos e sem barreiras de consentimento por ação, cada chamada de ferramenta vira um ponto de injeção potencial. Isso transforma vulnerabilidades de baixa gravidade em alavancas para movimentação lateral em infraestruturas multi-cloud. A ausência de revogação de tokens ID-JAG, por exemplo, torna irrelevante o ciclo de vida normal de credenciais: um agente com comportamento inadequado pode manter acesso indefinidamente, mesmo após detecção, porque não há mecanismo para invalidá-lo centralmente.