MCP sem segurança é um mapa que você entrega para quem encontrar primeiro

Essa semana a Wiz reportou exploração ativa de uma falha de autenticação em MCP. Atacantes entrando em tools e serviços conectados. Não me surpreendeu: o problema real é que a maioria trata a segurança de um MCP como algo que se adiciona no final, depois que já funciona.

Na mesma semana eu estava desenhando a arquitetura de um MCP para um cliente que quer dar ao time de vendas acesso a dados operacionais. Nenhuma das decisões foi reativa. Elas já estavam ali antes de escrever a primeira tool:

• O processo público roda com um usuário de banco de dados sem permissão de escrita sobre o que é sensível. A segurança é imposta pelo banco, não por um if que alguém apaga no próximo refactor.
• Ninguém entra anônimo. Cada pessoa tem seu token por magic link, com auditoria e revogação reais.
• Uma tool que consulta o status de um pedido também pede o email ou o CPF/CNPJ associado. Sem isso, qualquer um itera IDs e leva o mapa completo dos pedidos do cliente.

Nada disso é ideia minha. É privilégio mínimo e identidade real, o de sempre, aplicado a um protocolo novo que um agente pode invocar sozinho, sem ninguém olhando cada chamada.

Venho insistindo desde o ano passado que MCP é a tecnologia mais subestimada deste ciclo: agilidade de ferramentas, permissões por usuário, tudo conectado sem refazer nada do zero. O que não se discute o suficiente é que esse mesmo poder, mal desenhado, é o mapa completo do que pode acontecer se outra pessoa encontrar primeiro.

Um MCP mal desenhado não é um servidor com um bug. É um mapa completo da sua operação, esperando que alguém mais o encontre primeiro.

Minha aposta: em 2027 a segurança de MCP vai ser um item de contrato, não um detalhe técnico. As empresas que pensarem nisso agora vão cobrar diferente por isso.