O ecossistema MCP produziu mais de 40 CVEs entre janeiro e abril de 2026 — cadência de aproximadamente um a cada quatro dias. A NSA publicou orientação de considerações de projeto em maio de 2026. A OWASP mantém um Top 10 específico. O que ainda não existe é a peça que tornou a segurança de nuvem operacionalizável: um baseline com itens verificáveis, cada um com comando de checagem e valor esperado.
Como exercício, este é o esqueleto que eu escreveria.
Seção 1 — Exposição e transporte
- Servidores com transporte HTTP NÃO devem escutar em 0.0.0.0 sem autenticação. Checagem: endereço de bind e presença de validação de token.
- Servidores stdio NÃO devem receber parâmetros de configuração concatenados em shell. Foi exatamente esse padrão que a OX Security identificou nos SDKs oficiais em abril de 2026, afetando Python, TypeScript, Java e Rust.
- Processos que aceitam entrada não confiável NÃO devem alcançar o endpoint de metadados da nuvem.
Seção 2 — Autenticação e identidade
- Todo servidor remoto DEVE publicar Protected Resource Metadata (RFC 9728) e validar a audiência do token. A especificação exige; a prática não acompanha — auditoria da Astrix em mais de 5.200 servidores encontrou apenas 8,5% usando OAuth, contra 53% dependendo de chave estática ou PAT.
- Credencial NÃO deve ser passada por variável de ambiente. A mesma auditoria encontrou 79% fazendo exatamente isso.
- Cada servidor DEVE ter identidade própria, não compartilhada com a frota.
Seção 3 — Superfície de ferramenta
- Ferramentas que executam comando DEVEM usar lista de comandos permitidos, não filtro de entrada. Filtro ad hoc é insuficiente quando o design permite execução de subprocesso.
- Descrições de ferramenta DEVEM ser tratadas como dado não confiável e versionadas com hash conhecido, para detectar alteração silenciosa.
- Ferramentas de escrita DEVEM exigir aprovação humana quando a ação for irreversível.
Seção 4 — Observabilidade
- Toda invocação DEVE gerar evento com identidade, nome da ferramenta, argumentos e resultado, entregue ao SIEM corporativo.
- Rejeições de autorização DEVEM ser logadas com a mesma prioridade dos sucessos.
Por que a forma importa mais que o conteúdo
Nada aqui é intelectualmente difícil. A dificuldade sempre foi transformar recomendação em prova. Um benchmark CIS não é valioso porque contém sabedoria — é valioso porque cada item vira uma checagem automática, um número num relatório e uma conversa objetiva com auditoria.
Recomendação sem checagem correspondente não é controle. É opinião bem formatada.
Enquanto esse documento não existe, escreva o seu. Uma página com quinze itens verificáveis, aplicada aos servidores que você inventariou, vale mais que esperar o consenso do mercado.
