Toda disciplina de segurança de infraestrutura começa no mesmo lugar, e não é na ferramenta cara. É na lista. CSPM começou como inventário de recursos de nuvem. Gestão de vulnerabilidade começa com inventário de ativos. Segurança de MCP não vai ser diferente, e quase ninguém fez essa parte.
A escala do que está solto
Os números públicos já dão a dimensão. A Censys contabilizou mais de 12 mil serviços MCP acessíveis pela internet, a maioria sem autenticação. A Trend Micro, em varredura de julho de 2025, encontrou 492 servidores expostos sem autenticação nem criptografia — e uma varredura posterior contou 1.467. O registro oficial de MCP passou de 9,6 mil registros em maio de 2026, e existem cerca de 20 mil repositórios relacionados no GitHub.
Esses são os que estão na internet. Os que mais preocupam são os outros: os que subiram no notebook de um desenvolvedor, no cluster de homologação, num container que ninguém documentou. Shadow AI não é metáfora — é o estado padrão.
Onde procurar
Um inventário inicial é mais barato do que parece. Quatro fontes cobrem a maior parte:
- Arquivos de configuração de cliente. Clientes MCP guardam a lista de servidores em JSON no perfil do usuário. Uma busca por esses arquivos nos endpoints gerenciados revela o que cada pessoa plugou.
- Repositórios. Procure por dependências de SDK MCP nos manifestos de pacote. A GitGuardian relatou 24.008 segredos únicos expostos em arquivos de configuração relacionados a MCP no GitHub público — o que mostra que esses arquivos são encontráveis por padrão de nome.
- Processos e portas. Nos hosts que rodam agentes, liste processos que falam o protocolo e as portas que escutam. Transporte stdio não abre porta, então varredura de rede sozinha vai subestimar o número.
- Egresso. Log de DNS e de conexão de saída mostra agentes chamando servidores de terceiros que ninguém aprovou.
O que registrar por servidor
Nome do servidor não basta. O campo que decide risco é quais ferramentas ele expõe e o que cada uma faz. Registre: transporte, exige autenticação ou não, quais ferramentas escrevem em disco, executam comando ou chamam rede, qual identidade ele usa, e quem é o dono humano.
Um servidor que só lê e um servidor que executa comando têm o mesmo ícone na interface do cliente e risco completamente diferente.
Por que fazer isso antes de comprar ferramenta
Existe um reflexo compreensível de esperar o mercado produzir um scanner de postura para MCP. Mas mesmo quando ele existir, a primeira coisa que vai pedir é a lista de alvos. Quem já tiver o inventário ganha meses; quem não tiver vai começar do zero, só que com licença paga.
Comece com uma planilha. É constrangedor e funciona.
