Governança e risco MCP da OWASP: liberar aquele servidor?

Agentes de IA estão sendo ligados a sistemas reais em alta velocidade, e o conector que faz essa ligação é o Model Context Protocol (MCP). Um servidor MCP pode permitir que um agente leia suas wikis, abra pull requests, poste no Slack e dispare fluxos de produção, muitas vezes sem que um humano veja cada passo. O projeto OWASP MCP Governance & Risk existe para responder à única pergunta que importa antes de conectar um: este servidor deve ser permitido no nosso ambiente, e sob quais controles?

Quatro portões antes de qualquer pontuação

A ideia mais afiada do framework é que algumas coisas não são negociáveis. Antes de pesar um único fator de risco, quatro portões precisam passar, e a falha de qualquer um bloqueia a aprovação sozinha. Você pode percorrer essa mesma lógica de portões com a ferramenta de governança de servidores MCP antes de assinar qualquer coisa.

• Sem dono, sem aprovação. Todo servidor tem um responsável nomeado e prestador de contas, ou não entra em operação.
• Sem log, sem produção. Uma trilha de auditoria de cada ação é obrigatória em produção.
• Sem escopo definido, sem acesso. Os dados que ele pode ler e as ações que pode executar ficam documentados.
• Sem revisão, sem implantação corporativa. A aprovação não é um evento único: agenda-se uma revisão periódica do nível de risco.

Classificar: do Nível 0 ao Nível 4

Nem todo servidor MCP tem o mesmo risco, então o framework classifica cada um em um de cinco níveis, e a régua sobe conforme se avança: o Nível 0 é leitura de dados públicos; o Nível 1, leitura interna não sensível; o Nível 2, leitura sensível; o Nível 3, capacidade de escrita; e o Nível 4, privilegiado ou crítico. Um servidor de busca em documentação de Nível 0 e um de Nível 4 capaz de implantar em produção seguem as mesmas regras, mas com limiares muito diferentes. O nível é onde a pergunta "sob quais controles?" encontra sua resposta.

O risco principal: o encadeamento de ferramentas

De todas as formas como uma implantação MCP dá errado, o framework aponta o encadeamento de ferramentas como o risco principal: um servidor capaz de invocar outras ferramentas ou disparar fluxos subsequentes transforma uma única ação aprovada em uma cadeia que o usuário nunca viu. Em torno dele ficam as preocupações conhecidas: autorização e escopo de acesso, exposição de credenciais e vazamento de dados, lacunas na auditoria, confiança na cadeia de suprimentos e implantações paralelas. O modelo de oito fatores pontua exatamente isso, de modo que dois servidores do mesmo nível podem terminar com riscos residuais muito diferentes. Se você também for expor um modelo, some ao trabalho o scanner de risco de modelos.

Encaixa no que seus auditores já esperam

Isto não é um padrão isolado. O framework se alinha ao OWASP MCP Top 10, ao OWASP LLM Top 10, ao NIST AI RMF, à ISO/IEC 42001 e ao SOC 2, então uma decisão de governança registrada aqui entra direto na evidência de conformidade que você já produz. O objetivo final é simples: tornar o caminho aprovado mais rápido do que a implantação paralela, porque uma governança mais lenta que "rode você mesmo" não é seguida, é contornada.