Definições de ferramentas MCP como superfície de ataque: descrições envenenadas, shadowing e alterações silenciosas

Objetivo

Tratar a lista de ferramentas devolvida por um servidor MCP como entrada não confiável e detectar quando ela tenta influenciar o agente ou muda depois de aprovada.

Pré-requisitos

Um cliente ou gateway em que as definições das ferramentas possam ser registradas em log antes de chegarem ao modelo, e uma lista dos servidores que você aprovou.

Passos

1. Leia a posição da especificação: as ferramentas têm um nome, uma descrição, um esquema de entrada, um esquema de saída opcional e anotações opcionais, e os clientes DEVEM (MUST) considerar as anotações das ferramentas não confiáveis, a menos que venham de servidores confiáveis. Adote a mesma postura em relação às descrições, que o modelo lê como prosa.
2. No momento da aprovação, armazene, para cada servidor, um hash da definição completa de cada ferramenta (nome, descrição, esquemas, anotações).
3. A cada conexão, e sempre que o servidor enviar uma notificação de lista alterada (list-changed), recalcule os hashes. Se alguma definição tiver mudado, suspenda as ferramentas do servidor até que uma pessoa revise a diferença (diff).
4. Revise as descrições em busca de instruções dirigidas ao modelo e não ao usuário: pedidos para ler arquivos sem relação com a finalidade da ferramenta, para incluir dados extras nos argumentos, para preferir esta ferramenta à de outro servidor ou para esconder algo do usuário.
5. Detecte shadowing: dois servidores que expõem ferramentas com nomes iguais ou facilmente confundíveis, ou a descrição de um servidor que faz referência às ferramentas de outro. Use no cliente um namespace por servidor nos nomes das ferramentas.
6. Verifique se o que a ferramenta faz corresponde às suas anotações; uma ferramenta anotada como somente leitura que tem efeitos de escrita é motivo para remover o servidor.
7. Mostre ao usuário o nome do servidor e os argumentos exatos antes de uma chamada com efeitos colaterais, e não apenas a autodescrição da ferramenta.

Resultado esperado

As alterações nas definições das ferramentas passam a ser eventos visíveis, em vez de atualizações silenciosas; uma descrição que tenta conduzir o modelo é encontrada na revisão, e não durante um incidente.

Limites e base de verificação

O hash detecta mudanças, não intenções; uma definição maliciosa desde o início exige a revisão do passo 4. Um servidor ainda pode se comportar, no momento da chamada, de forma diferente da que sua descrição indica: as definições não restringem nada do lado do servidor. Os servidores locais são executados com os privilégios do usuário; a orientação de segurança do MCP trata o comprometimento de um servidor local como um risco à parte.