Uma nova e sofisticada superfície de ataque direcionada a ferramentas de inteligência artificial utilizadas por desenvolvedores de software acaba de ser trazida à tona pela comunidade de segurança digital. Uma análise conduzida por especialistas do ASSET Research Group revelou que servidores maliciosos operando sob o protocolo MCP (Model Context Protocol) conseguem induzir agentes autônomos de código a expor chaves de acesso SSH e credenciais sensíveis.
A descoberta foi divulgada originalmente pelo veículo especializado em segurança digital The Hacker News e compartilhada no Brasil pelo analista Ricardo Brasil. O grande perigo da ameaça reside na sua discrição: a estrutura das comandos enviados pelo servidor é projetada para que cada trecho da instrução pareça uma tarefa comum e legítima de rotina de programação, camuflando a intenção maliciosa.
Como funciona a exploração silenciosa via protocolo MCP
O Model Context Protocol (MCP) foi desenhado para permitir que assistentes de inteligência artificial e agentes automatizados se conectem a diferentes fontes de dados, repositórios de código e APIs externas. No entanto, ao interagir com um servidor MCP comprometido ou intencionalmente malicioso, o agente de IA passa a receber prompts fragmentados.
Esses comandos instruem o assistente a ler arquivos de configuração locais e extrair credenciais de acesso reservadas — como as chaves SSH atreladas ao servidor do desenvolvedor. Como cada pedaço da instrução simula um fluxo de trabalho perfeitamente aceitável (como checar permissões de pasta ou ler variáveis de ambiente), os filtros habituais de segurança do próprio agente de inteligência artificial não disparam alertas.
O risco da automação sem validação rígida de contexto
A técnica evidencia o avanço dos chamados indirect prompt injection attacks (ataques indiretos por injeção de prompt), nos quais os invasores não atacam o modelo de linguagem diretamente, mas sim os dados e servidores contextuais aos quais a IA tem permissão de acesso.
A exfiltração de uma chave SSH concede ao cibercriminoso acesso direto e irrestrito aos servidores de produção, ambientes de testes e repositórios da empresa. Esse tipo de comprometimento pode servir de porta de entrada para ataques de supply chain (cadeia de suprimentos de software), alteração de código-fonte e roubo massivo de dados corporativos sem disparar alarmes imediatos nas equipes de TI.
Alerta e recomendações para desenvolvedores e empresas no Brasil
O estudo do ASSET Research Group serve como um alerta urgente para times de engenharia de software e gestores de cibersegurança no Brasil que vêm adotando aceleradamente agentes de código baseados em IA.
Para mitigar o risco, empresas devem restringir as permissões de leitura e escrita concedidas a assistentes de IA, impedindo que tenham acesso direto a diretórios sensíveis como arquivos de variáveis de ambiente . Além disso, é indispensável auditar a procedência de qualquer servidor MCP de terceiros acoplado ao ambiente de desenvolvimento, aplicando o princípio do menor privilégio mesmo para ferramentas automatizadas.
A descoberta demonstra que, à medida que os agentes de IA ganham mais autonomia para manipular arquivos e executar comandos, a segurança precisa migrar da checagem do código gerado para a validação rigorosa dos contextos e das fontes às quais esses agentes se conectam.
