Servidores MCP maliciosos podem induzir agentes de IA a vazar chaves SSH e código-fonte

Servidores maliciosos conectados a assistentes de programação por inteligência artificial podem induzir agentes a exfiltrar chaves SSH, segredos de ambiente, código-fonte e dados de clientes sem apresentar uma única instrução claramente maliciosa. A técnica, chamada GhostSplice, explora a capacidade dos agentes de combinar comandos aparentemente inofensivos distribuídos em diferentes interações.

O ataque tem como alvo ferramentas de programação que utilizam o Model Context Protocol (MCP), padrão aberto que permite a assistentes de IA acessar ferramentas e serviços externos. Em vez de solicitar diretamente o acesso e envio de arquivos confidenciais — comportamento que pode ser bloqueado pelos mecanismos de segurança —, um servidor MCP malicioso divide a solicitação em fragmentos.

Segundo o ASSET Research Group, um fragmento pode ser colocado na descrição de uma ferramenta e outro aparecer posteriormente no resultado de uma operação. Algumas implementações também permitem mecanismos adicionais iniciados pelo servidor. Embora o MCP mantenha separadas estruturalmente as chamadas e respostas das ferramentas, os testes indicam que agentes podem reunir instruções provenientes desses diferentes canais dentro do mesmo contexto de trabalho.

Os pesquisadores demonstraram a técnica em ambientes isolados, utilizando projetos preparados com credenciais falsas. Não há indicação de exploração do GhostSplice em ataques reais. A divulgação também informa que eventuais identificadores CVE serão publicados após o processo de divulgação coordenada.

Um dos principais resultados da pesquisa é que o comportamento não depende apenas do modelo de IA utilizado. O mesmo modelo pode recusar uma tentativa de exfiltração em um cliente de programação e aceitar a operação em outro, dependendo das proteções implementadas ao redor do modelo.

A técnica também possui uma limitação importante: ela não permite comprometer arbitrariamente um agente de IA pela internet. O ataque pressupõe que o desenvolvedor já tenha conectado o servidor MCP controlado pelo invasor e que o agente possua permissão para acessar os arquivos que serão coletados.

Na implementação de referência, o servidor apresenta uma ferramenta aparentemente legítima chamada “integrity_checker”, contendo quatro campos genéricos identificados como alpha, beta, gamma e delta, sem mencionar arquivos confidenciais. Posteriormente, o resultado de uma varredura do projeto fornece o mapeamento que associa esses campos ao conteúdo de arquivos como “.ssh/id_rsa”, código proprietário, “customers.csv” e “.env”, sob o pretexto de realizar uma “verificação de hash no servidor”.

Separadamente, nenhuma das instruções contém todo o comando necessário para a exfiltração. Quando combinadas pelo agente, porém, elas orientam a coleta dos arquivos locais e o envio de seu conteúdo para a ferramenta controlada pelo atacante. O repositório público da pesquisa também apresenta uma variante com três canais, separando inventário do projeto, mapeamento dos arquivos e ferramenta de coleta em três interações.

Nos testes com 11 modelos acessados por API, a taxa média de execução das solicitações subiu de 42% para 82% quando as instruções foram divididas em duas partes. GPT-4o, Gemini 2.0 Flash e Llama 3.3 70B passaram de 0% no teste com uma única instrução para 100% no cenário fragmentado.

Os resultados também variaram conforme o ambiente. Claude Haiku 4.5 permaneceu em 0% nos testes via API, mas chegou a 100% em um teste com três fragmentos no Cursor. O GPT-5.4 registrou 90% no Cursor e 100% pelo Codex CLI, enquanto o repositório da pesquisa relata queda para 0% quando utilizado por meio do Claude Code.

Os números, entretanto, representam exclusivamente os cenários testados pelos pesquisadores e não devem ser interpretados como taxas gerais de vulnerabilidade dos modelos. Claude Sonnet 4.6 e Opus 4.6, por exemplo, aparecem com 0% na tabela publicada, mas o ASSET afirma que, em um dos testes, o Sonnet enviou código proprietário contendo uma chave inserida diretamente no código enquanto ocultava outros segredos mais evidentes.

A pesquisa também identificou que justificativas elaboradas envolvendo conformidade ou governança podiam despertar mais resistência do modelo. Uma abordagem simples, semelhante ao preenchimento de campos solicitados por uma ferramenta, mostrou-se mais difícil de distinguir de uma operação legítima.

As medidas de proteção dependem principalmente dos clientes e das integrações MCP. A especificação recomenda manter o usuário no controle das chamadas de ferramentas e tratar informações provenientes de servidores não confiáveis como dados não confiáveis. O ASSET também recomenda impedir que resultados produzidos por uma ferramenta sejam utilizados automaticamente como argumentos de outra sem validação.

O GhostSplice sucede o Ghostcommit, técnica divulgada pelo mesmo laboratório em junho. Nesse caso, uma instrução era escondida em uma imagem PNG referenciada por um arquivo de convenções do projeto, levando um agente de programação a codificar segredos de arquivos “.env” dentro do código-fonte. Apesar dos mecanismos diferentes, as pesquisas indicam que as proteções implementadas ao redor dos modelos são determinantes para limitar ataques contra agentes de IA.