Relato técnico da Microsoft Incident Response sobre um padrão de ataque que manipula metadados de ferramentas MCP em agentes empresariais de IA.
A Microsoft Incident Response detalhou um padrão de ataque que altera descrições de ferramentas MCP para induzir agentes de IA a executar ações além do solicitado, observadas em 2026 em fluxos de trabalho empresariais. Segundo o relatório, a técnica explora metadados de ferramentas usados por agentes criados com Copilot Studio e conectados por Model Context Protocol (MCP), permitindo a coleta e exfiltração de dados sem sinalização visível ao usuário.
Contexto e evolução dos agentes
Conforme a Microsoft, agentes de IA que antes apenas liam conteúdo passaram a tomar ações concretas em sistemas empresariais. Ferramentas como Microsoft 365 Copilot, Copilot Studio e Azure AI Foundry permitem orquestração generativa e conexão a sistemas via MCP, mudando o perfil de risco: uma injeção em um resumidor distorce saída; uma injeção em um agente pode desencadear ações.
A International Data Corporation (IDC) projeta crescimento de 28,6 milhões de agentes ativos em 2025 para mais de 2.200 milhões em 2030. O relatório cita também o OWASP Top 10 para Aplicações Agênticas publicado em dezembro de 2025 como referência para defensores. Técnicas relacionadas foram identificadas pela Invariant Labs em abril de 2025 e observadas em 2026, segundo o documento.
Padrão de ataque em um fluxo financeiro
No caso descrito, um time de operações financeiras criou um agente em Copilot Studio que usa orquestração generativa e três integrações: um servidor MCP em Dataverse com o cadastro de fornecedores, um conector Outlook e um servidor MCP de enriquecimento de faturas de terceiro. O servidor externo foi aprovado para produção pelo responsável do serviço, sem revisão de segurança adicional.
A cadeia de ataque ocorre em quatro fases.
Fase 1 — Envenenamento da descrição da ferramenta. Um desenvolvedor envia uma atualização ao servidor de enriquecimento. O nome e o resumo da ferramenta permanecem, mas a descrição MCP é alterada silenciosamente. Oculto na documentação legítima, um bloco de instruções ordena ao agente recuperar as trinta últimas faturas em aberto, resumir e anexar esse resumo como parâmetro adicional na chamada de enriquecimento.
Fase 2 — Reconfiança silenciosa. O MCP reflete metadados dinâmicos da ferramenta. Em ambientes onde alterações na descrição não disparam reaprovação, a instrução atualizada entra em produção sem revisão.
Fase 3 — Invocação pelo usuário. Um analista faz uma pergunta rotineira ao agente sobre um fornecedor. Sem indicação visível, o agente segue as instruções embutidas na descrição envenenada, coleta registros financeiros além do escopo da solicitação e os inclui na chamada de enriquecimento.
Fase 4 — Exfiltração. O servidor de enriquecimento retorna uma resposta validada e, simultaneamente, registra o resumo das faturas em um endpoint controlado pelo ator da ameaça. O analista observa uma resposta aparente e nenhuma alerta é necessariamente disparado em configurações padrão.
Por que o padrão funciona
Cada ação isolada do agente está dentro de parâmetros aprovados: a ferramenta foi validada, consultas herdam permissões do analista e chamadas externas eram permitidas ao serem adicionadas. A Microsoft ressalta que a vulnerabilidade está no limite de confiança entre integrações: o MCP mistura instruções em linguagem natural (descrições) com dados, e o agente não distingue instruções legítimas de instruções maliciosas inseridas por um mantenedor upstream.
Diretrizes de mitigação e controles recomendados
A Microsoft indica controles aplicáveis em quatro pontos da cadeia de ataque, suportados por capacidades da própria empresa.
– Governar a cadeia de suprimentos. Manter um inventário de editores e servidores MCP aprovados a nível de inquilino. Utilizar o catálogo de Microsoft MCP e desativar a opção “Permitir todas” conexões em MCP, habilitando apenas as ferramentas necessárias ao agente.
– Inspecionar metadados de ferramenta. Empregar Prompt Shields no Azure AI Content Safety para analisar conteúdo de respostas e descrições de ferramentas MCP antes que entren no contexto do agente. A proteção de carga de trabalho de Defender for Cloud alerta sobre prompts suspeitos em tempo de execução. Revisar mudanças de metadados com o mesmo rigor de alterações em prompts do sistema.
– Proteger a ação. Políticas de Prevenção de Perda de Dados (DLP) do Microsoft Purview podem inspecionar parâmetros de chamadas a ferramentas e bloquear dados sensíveis em cargas de saída. Para ações de alto impacto, exigir aprovação humana via Copilot Studio, atribuir identidades não humanas com ID de Agente de Microsoft Entra e aplicar Acesso Condicional.
– Correlacionar a cadeia. Instrumentar telemetria do servidor MCP e enviá-la ao Microsoft Sentinel para correlação com sinais comportamentais dos agentes. Microsoft Defender for Cloud Apps identifica novos endpoints externos com que um agente passou a interagir. Registros de auditoria do Microsoft Purview oferecem trilha para investigação pós-incidente.
Princípios para governança de agentes
A Microsoft recomenda três princípios práticos:
– Tratar cada servidor MCP como dependência da cadeia de suprimentos: manter inventário de editores aprovados, revisar descrições de ferramentas durante análise de segurança e exigir um proprietário documentado para servidores de terceiros.
– Tratar descrições de ferramentas como prompts do sistema: exigir revisão de alterações de descrição em agentes críticos e usar Prompt Shields para identificar linguagem imperativa inadequada.
– Aplicar a menor agência, não apenas o menor privilégio: desativar acesso amplo a ferramentas, exigir aprovação humana para ações de alto impacto e configurar comportamentos base no Microsoft Sentinel para que desvios gerem alertas.
Conclusão
A pesquisa da Microsoft conclui que agentes que atuam em nome de usuários dependem de uma cadeia de ferramentas em expansão e que a alteração de uma descrição de ferramenta pode direcionar o comportamento desses agentes sem envolver diretamente um usuário, prompt ou credencial. O OWASP Top 10 para Aplicações Agênticas é citado como enquadramento. As capacidades de segurança da Microsoft — incluindo controles em Copilot Studio, Prompt Shields, Defender for Cloud AI Protection, Microsoft Entra Agent ID, Microsoft Purview DLP, Microsoft Defender for Cloud Apps e Microsoft Sentinel — oferecem os mecanismos necessários; o desafio é aplicá-los de forma deliberada a fluxos de trabalho agênticos, definindo permissões, governando a cadeia de suprimentos, monitorando comportamentos e realizando red teaming antes do deploy.
A Microsoft informa que adota práticas de divulgação coordenada e não revela detalhes de organizações afetadas. A investigação foi fornecida por Microsoft Defender Security Research, Mohammed Zaid, com contribuições de membros do Microsoft Threat Intelligence.
Assuntos nesse artigo:
#microsoft, #mcp, #copilot, #copilotstudio, #azureai, #defenderforcloud, #microsoftpurview, #microsoftsentinel, #dataverse, #agentesdeia, #cadeiadesuprimentos, #envenenamento, #metadados, #dlp, #promptshields, #seguranca, #incidentresponse, #invariantlabs, #owasp, #governanca