A pergunta que mais rende num assessment de nuvem é curta: quem consegue alcançar isso? Aplicada a servidores MCP, ela costuma ter uma resposta desconfortável — qualquer coisa dentro da VPC, porque ninguém desenhou nada.
Duas direções, dois problemas diferentes
Segmentação para agente não é só controlar quem entra. É controlar também para onde o processo consegue sair, e a segunda direção é a que quase todo mundo esquece.
Entrada: quem pode invocar ferramentas. Se a resposta for “qualquer pod do cluster”, um comprometimento em qualquer outro serviço vira execução de ações com as credenciais do agente.
Saída: onde o processo pode chegar. É o egresso que transforma SSRF em roubo de credencial, prompt injection em exfiltração e servidor de terceiro em canal de comando. Controlar saída é mais trabalhoso e rende mais.
Um desenho que funciona
- Namespace ou sub-rede dedicada para cargas de trabalho de agente. Nada de coabitar com aplicação de negócio.
- Default deny nas duas direções. Em Kubernetes, uma NetworkPolicy sem regras de egresso já nega tudo; libere destino por destino.
- Bloqueio explícito do endpoint de metadados a partir de qualquer processo que aceite entrada não confiável.
- Proxy de saída com allowlist de domínio para as ferramentas que precisam de internet. O log desse proxy é, na prática, o melhor detector de comportamento anômalo de agente que você vai ter de graça.
- Servidores MCP internos escutando em loopback ou rede dedicada, nunca em 0.0.0.0.
O caso do servidor de terceiro
Servidor MCP de terceiro merece tratamento de fornecedor, não de plugin. A Trend Micro relatou falhas de injeção de comando com CVSS 9.8 em servidores MCP não oficiais de AWS e Azure — exatamente o tipo de componente que alguém instala porque o nome parecia oficial.
Se um componente executa ações com as suas credenciais, ele é fornecedor crítico. O fato de ter sido instalado com um comando não muda isso.
O ganho colateral
Segmentação bem feita dá uma coisa que nenhum scanner dá: reduz o raio de explosão de falhas que você ainda não conhece. Com mais de 40 CVEs divulgados em quatro meses e cadência de aproximadamente uma a cada quatro dias, projetar para contenção é mais realista que projetar para prevenção completa.
