Menor privilégio é um conceito que a indústria domina para identidade e trata com desleixo para capacidade. Numa integração MCP típica, a decisão é tomada por omissão: instala-se o servidor e todas as ferramentas dele ficam disponíveis, porque desligar uma por uma dá trabalho e ninguém sabe quais o agente vai precisar.
O custo de cada ferramenta a mais
Cada ferramenta exposta acrescenta três coisas, não uma:
- Uma ação possível que um contexto envenenado pode invocar.
- Um bloco de texto no contexto — a descrição — que é superfície de injeção por si só.
- Uma permissão que a credencial do agente precisa carregar, geralmente pelo resto da vida da service account.
A escala do problema é mensurável: uma análise de larga escala do ecossistema identificou 370 servidores e 1.062 ferramentas com funcionalidades relevantes para cadeias de ataque encadeadas. Não são ferramentas maliciosas — são ferramentas legítimas cuja combinação produz capacidade que ninguém avaliou.
O risco raramente está numa ferramenta. Está na composição de três que, juntas, leem, transformam e enviam.
Um método de corte
Classifique cada ferramenta em quatro categorias e trate cada uma de forma diferente:
- Leitura interna — baixo risco isolado. Libere.
- Escrita interna — exige aprovação se for irreversível.
- Leitura externa — traz conteúdo não confiável para o contexto. É a porta de entrada da injeção indireta.
- Escrita externa — canal de exfiltração. Deveria ser a lista mais curta do seu ambiente.
A combinação perigosa é leitura externa mais escrita externa no mesmo agente. Se você precisa das duas, separe em agentes distintos com identidades distintas — quebrar a cadeia é mais barato que vigiá-la.
A pergunta que corta metade
Para cada ferramenta habilitada, pergunte: quantas vezes ela foi chamada nos últimos trinta dias? Se a resposta for zero, ela não está fazendo nada além de ampliar superfície e consumir contexto.
Se você não consegue responder essa pergunta, o problema não é excesso de ferramenta — é ausência de log de chamada, que é assunto do próximo texto.
