APIs locais de controle de agentes: impedir o acesso ao host por um proxy sem autenticação

O que é

Situação em 25 de outubro de 2026. Consulte novamente os comunicados e a documentação de implantação do serviço de controle em questão. Um exemplo histórico confirmado é a CVE-2025-49596: versões do MCP Inspector anteriores a 0.14.1 não tinham autenticação entre o cliente e o proxy, permitindo iniciar comandos sem autenticação. O comunicado lista 0.14.1 como corrigida. Este é um exemplo de 2025 que orienta a arquitetura atual, não uma CVE recém-descoberta em 2026. Comunicado do Inspector.

A CWE-306 classifica funcionalidades críticas expostas sem estabelecer a identidade de quem as chama. No contexto de agentes, a preocupação é um serviço auxiliar acessível que pode agir com permissões que o próprio sandbox não possui. Isso pode comprometer o isolamento pretendido sem uma vulnerabilidade no kernel. Essa aplicação à arquitetura de agentes é uma inferência de projeto, não uma alegação de que o incidente citado demonstrou uma fuga específica de sandbox. CWE-306.

Por que importa

Vincular o serviço ao loopback limita a exposição à rede; não identifica quem faz a chamada localmente. A especificação MCP Streamable HTTP exige a validação dos cabeçalhos Origin recebidos, a rejeição com HTTP 403 de um Origin presente e inválido, e recomenda a vinculação ao localhost e o uso de autenticação. Essas proteções são complementares. Requisitos de segurança do transporte.

A documentação atual do cliente web do Inspector também descreve a validação de Host, porque algumas requisições de páginas não carregam um cabeçalho Origin. Seu backend usa um token de autenticação e documenta a geração de um token a cada inicialização. Portanto, uma verificação de origem do navegador, por si só, não substitui a autenticação de clientes que não são navegadores. Documentação do cliente web.

Como aplicar

• Faça um inventário do serviço que efetivamente inicia comandos ou grava arquivos. Para pacotes do Inspector instalados localmente, execute npm ls @modelcontextprotocol/inspector --depth=0 no diretório de instalação; examine instalações globais separadamente. Correlacione o pacote com o inicializador ativo, em vez de presumir que a dependência do projeto atual é o serviço em execução. npm ls.
• Substitua as versões afetadas do Inspector por uma versão com suporte que contenha a correção de 0.14.1. Revise também os comunicados posteriores; essa correção histórica não significa que todas as compilações posteriores estejam livres de vulnerabilidades não relacionadas.
• Vincule serviços de uso exclusivamente local às interfaces de loopback pretendidas e revise a publicação de portas de contêineres, os encaminhamentos de portas e os proxies em busca de exposição não intencional. Mantenha listas explícitas de valores permitidos para Host e Origin onde o serviço oferecer acesso por navegador.
• Autentique toda operação de controle privilegiada. Para um serviço auxiliar local limitado a uma sessão, use uma credencial de autenticação separada e imprevisível, com duração limitada, e revogue-a ao encerrar a sessão. Mantenha-a fora de arquivos legíveis pelo agente, registros de interações e saídas de ferramentas, salvo quando esse agente tiver autorização intencional para usar o serviço auxiliar.
• Autorize as operações separadamente da autenticação. Restrinja as opções de executáveis e as raízes graváveis. Um token válido não deve conceder automaticamente administração irrestrita do host.
• Como verificações de aceitação, confirme a rejeição de chamadas sem autenticação, credenciais expiradas, origens inválidas e nomes de host inesperados, sem invocar operações privilegiadas reais. Confirme que o sandbox não consegue acessar um serviço de controle em escuta desnecessário. Teste a estrutura de encaminhamento implantada, além da configuração do serviço.

Armadilhas

Não trate uma porta aleatória ou a classificação de uma rede como interna como autenticação. Não desative a proteção para corrigir um erro de conexão. Investigue processos filhos no host sem explicação, preserve os logs do serviço e do agente e reconstrua o ambiente a partir de fontes confiáveis se a execução não autorizada for comprovada. Trocar o token de um serviço auxiliar não remove alterações já feitas no host.