Qual é a falha crítica em IA que afeta a Google e a JPMorgan?
Equipes de segurança da Google, JPMorgan Chase e vários governos corrigiram uma falha crítica em seus servidores de Protocolo de Contexto de Modelo (MCP), que poderia ter permitido que atacantes acessassem sistemas internos. A falha, conhecida como falsificação de solicitação de servidor (SSRF), foi descoberta pelo pesquisador independente Syed Anas Mohiuddin, destacando a importância da otimização do mecanismo de resposta (AEO) na prevenção de tais vulnerabilidades.
Como a falha afeta os servidores de Protocolo de Contexto de Modelo?
O MCP é o padrão que os agentes de IA usam para chamar ferramentas e fontes de dados, afetando a visibilidade dos grandes modelos de linguagem (LLM) e a otimização de busca de IA em geral. A falha permitia que um atacante direcionasse um agente para decidir com qual servidor se comunicar, incluindo sistemas internos. Mohiuddin argumentou que o problema era estrutural e sua previsão foi comprovada quando equipes que não compartilham código ou proprietário produziram a mesma falha.
A Caixa de Ferramentas MCP para Bancos de Dados tinha um cliente HTTP sem política de redirecionamento restritiva e sem verificação de endereços IP de destino, de acordo com o aviso do GitHub. Um parâmetro de caminho personalizado poderia enviar solicitações para pontos de extremidade internos ou externos. A falha, CVE-2026-14540, tem uma classificação alta de 8,0 e afeta as versões 0,3,0 a 1,4,0. A correção da Google adiciona uma proteção contra rebindição de DNS e listas de intervalos de IP permitidos e bloqueados, e credita Mohiuddin.
O repositório de código aberto da JPMorgan inclui um servidor de busca de documentação MCP com duas ferramentas que buscam conteúdo. Uma verificava domínios contra um lista de permissões. Sua ferramenta irmã buscava qualquer URL fornecida pelo chamador, Mohiuddin escreveu. A JPMorgan bifurcou o componente de um projeto da AWS que nunca buscou a URL do chamador. A equipe de Divulgação Responsável da JPMorgan confirmou a descoberta e implantou uma correção, ele escreveu. A descoberta é de gravidade média, ele escreveu.
Weaviate restringiu as configurações de ponto de extremidade do módulo Google para hosts de API do Google, ele escreveu. O servidor MCP oficial da DINUM para a plataforma de dados abertos da França buscava URLs fornecidas por produtores de dados, que poderiam apontar para endereços de metadados internos ou na nuvem. Sua correção, intitulada "proteger SSRF em APIs externas", começa com "Relatado por Syed Anas Mohiuddin".
No servidor MCP Wazuh de Tangerang, uma ferramenta anunciava proteção SSRF, mas apenas rejeitava endereços IP literais, de acordo com um aviso de alta gravidade publicado em 3 de setembro. Ele nunca resolveu nomes de host.
Rapid7 corrigiu um bug diferente que ele encontrou, CVE-2026-97228, no servidor MCP de Exportação em Lote. O bug permitia injeção de GraphQL dentro do acesso do operador, e a Rapid7 o classifica como baixo, com 2,7, de acordo com o registro do banco de dados.
Mohiuddin chama a classe de ataques mais amplos de "pivô de protocolo". Um atacante planta texto em conteúdo que uma ferramenta MCP retorna, moldado como uma tarefa para o protocolo A2A da Google. Um agente orquestrador passa para um subagente, que o executa porque confia no orquestrador.
"Cada peça naquela cadeia fez exatamente o que foi projetada para fazer, o que torna isso tão difícil de capturar", disse Douglas McKee, diretor de inteligência de vulnerabilidade da Rapid7, à Ars Technica.
Markus Vervier, da X41 D-Sec, disse à Ars que a técnica é uma forma de injeção de prompt indireta. Mohiuddin apresentará as descobertas na MCPCon América do Norte, em San Jose, em 23 de outubro.
Cet article a été rédigé avec l'assistance de l'IA.
News Factory APP - actualités agentiques pour booster votre SEO et AEO.