MCPThreatHive: Automated Threat Intelligence for Model Context Protocol Ecosystems

1. Problema e Contexto

O Model Context Protocol (MCP), introduzido pela Anthropic no final de 2024, tornou-se o padrão de facto para conectar agentes de Grandes Modelos de Linguagem (LLMs) a ferramentas e fontes de dados externas. No entanto, a rápida adoção do MCP superou a capacidade da comunidade de segurança de caracterizar e mitigar seus riscos.

Desafios Específicos do MCP:

• Superfície de Ataque Semântica: Diferente de interfaces tradicionais, a seleção de ferramentas no MCP é mediada por descrições em linguagem natural interpretadas por LLMs. Isso introduz vetores de ataque únicos, como envenenamento de descrições de ferramentas, injeção indireta de prompts via dados externos e cadeias de ferramentas parasitas.
• Autonomia e Blast Radius: Sistemas de agentes operam com alta autonomia, acumulando estado contextual e invocando dezenas de ferramentas por sessão, aumentando drasticamente o impacto de uma violação.
• Limitações das Ferramentas Existentes: Uma análise comparativa revelou três lacunas críticas nas ferramentas de segurança atuais:
  1. Modelagem de Ataques Composicionais Incompleta: Ferramentas existentes analisam ferramentas isoladamente, falhando em detectar riscos que emergem da interação entre ferramentas benignas (ex: cadeias parasitas).
  2. Ausência de Inteligência de Ameaças Contínua: A maioria opera em modo manual ou de "ponto no tempo" (point-in-time), sem monitoramento contínuo de novas ameaças.
  3. Falta de Classificação Unificada Multi-Quadro: Ferramentas atuais mapeiam ameaças para apenas um framework (ex: STRIDE ou OWASP), sem uma visão unificada que integre múltiplas taxonomias.

2. Metodologia: A Plataforma MCPThreatHive

O MCPThreatHive é uma plataforma de código aberto que automatiza o ciclo de vida completo da inteligência de ameaças do MCP. A arquitetura segue um pipeline de quatro estágios (Figura 2 do artigo):

A. Coleta de Inteligência (Intelligence Gathering)

• Fontes: Coleta contínua de dados de quatro fontes: busca na web (DuckDuckGo), feeds RSS (ArXiv, Krebs on Security, etc.), API do NVD (National Vulnerability Database) e GitHub Security Advisories.
• Normalização: Todos os dados são normalizados para um esquema unificado (IntelItem).
• Geração de Consultas: Um gerador de palavras-chave baseado em LLM cria consultas de busca direcionadas à taxonomia MCP-38, com um loop de refinamento iterativo para evitar lacunas de cobertura.

B. Análise de Ameaças por IA (AI Threat Analysis)

• Processamento em Lote: Itens relevantes (acima de um limiar de 0.70) são processados em lotes de 3 a 5 por um LLM via API.
• Raciocínio Cadeia-de-Pensamento (CoT): O sistema força o modelo a seguir uma sequência lógica antes de gerar saída estruturada:
  1. Classificar a fase do fluxo de trabalho MCP (Planejamento, Invocação, Resposta, Transversal).
  2. Atribuir identificadores da taxonomia MCP-38 (38 padrões de ameaça específicos).
  3. Determinar a categoria principal STRIDE.
  4. Avaliar fatores de risco adaptados do modelo DREAD.
  5. Verificar consistência entre o nível de risco textual e a pontuação numérica.
• Correção de Saída: Um pipeline de três etapas (análise JSON estrita, balanceamento de colchetes e extração baseada em padrões) corrige falhas de sintaxe ou truncamento comuns em modelos de fronteira.
• Análise de Cadeias Parasitas (MCP-UPD): As ameaças são anotadas com fases do modelo de cadeia parasita (Ingestão, Coleta de Privacidade, Divulgação de Privacidade), permitindo mapear ataques multi-ferramenta.

C. Pontuação de Risco Composta

• Utiliza um modelo adaptado do DREAD, calculando uma pontuação base $R \in [0, 1]$ baseada em quatro fatores ponderados:
  • Severidade do Impacto de Segurança ($L_{norm}$)
  • Taxa de Sucesso do Ataque ($S$)
  • Persistência/Alcance ($I$)
  • Facilidade de Exploração ($D$)
• Multiplicadores Específicos do MCP: A pontuação é amplificada por multiplicadores para ataques semânticos ($\times 1.20$), cadeias parasitas ($\times 1.15$) e baixa observabilidade em tempo de execução ($\times 1.10$).
• A pontuação final é mapeada para uma escala de 0 a 10 (Crítico, Alto, Médio, Baixo).

D. Armazenamento e Visualização

• Grafo de Conhecimento Neuro-Simbólico: Combina extração determinística (CVEs, CWEs) com extração probabilística de LLM para criar um grafo (Neo4j) que conecta entidades como Ameaças, Ferramentas, Mitigações e Técnicas. O grafo captura relações de cadeia de ataque (ex: CHAINS_INTO).
• Visualização Interativa:
  • Matriz de Ameaças: Mapeia os 38 padrões MCP na grade de superfície de ataque do MCPSecBench.
  • Paisagem 3D de Ameaças: Representa visualmente as superfícies de ataque como um horizonte urbano, onde a altura indica a severidade e a cor o tipo de ameaça.
  • Planejador de Risco (AI Risk Planner): Gera planos de mitigação estruturados usando uma estratégia "Batch-Aggregate-Refine" (Lote-Agregue-Refine).

3. Contribuições Principais

1. Pipeline Automatizado de 4 Estágios: Uma solução end-to-end para coleta, análise, armazenamento e visualização de inteligência de ameaças do MCP.
2. Operacionalização da Taxonomia MCP-38: A primeira plataforma a mapear automaticamente as 38 ameaças específicas do MCP para múltiplos frameworks (STRIDE, OWASP Top 10 para LLM, OWASP Top 10 para Agentic e MCPSecBench).
3. Modelo de Pontuação de Risco Híbrido: Combina fatores quantitativos com multiplicadores específicos para o contexto de agentes autônomos, permitindo priorização quantitativa.
4. Análise de Cadeias de Ataque (MCP-UPD): Capacidade única de modelar e visualizar ataques composicionais onde ferramentas benignas são encadeadas para fins maliciosos.
5. Implementação de Código Aberto: Disponibilizada para uso e extensão pela comunidade, preenchendo a lacuna de ferramentas de inteligência contínua.

4. Resultados e Avaliação

• Comparação com Ferramentas Existentes: O estudo comparativo (Tabela 2) demonstra que o MCPThreatHive é a única ferramenta que suporta simultaneamente: cobertura total da taxonomia MCP-38, inteligência contínua, construção de grafo de conhecimento, planos de risco gerados por IA e mapeamento multi-framework. Ferramentas existentes focam em análise estática ou proxies de tempo de execução, mas falham na inteligência proativa e na modelagem composicional.
• Estudo de Caso (GitHub MCP Prompt Injection): O pipeline foi testado contra um incidente real conhecido (injeção de prompt via repositório GitHub em 2025).
  • Resultado: O sistema classificou corretamente a ameaça como MCP-20 (Injeção Indireta de Prompt) e MCP-24 (Exfiltração de Dados), identificando a cadeia parasita (T2T $\to$ UPD) e mapeando para as categorias STRIDE e OWASP corretas.
  • Validação: A saída do sistema foi consistente com a análise de especialistas humanos, demonstrando a eficácia do prompting com CoT e das restrições de esquema.

5. Significado e Impacto

O MCPThreatHive representa um avanço crítico na segurança de sistemas de IA autônomos. Ao tratar a segurança do MCP não apenas como um problema de validação de entrada, mas como um desafio de inteligência de ameaças contínua e modelagem de relações, a plataforma permite que equipes de segurança:

• Antecipem ameaças emergentes antes que sejam exploradas em larga escala.
• Compreendam o risco sistêmico de cadeias de ferramentas, não apenas de componentes isolados.
• Integrem padrões de segurança globais (OWASP, STRIDE) com a realidade específica do protocolo MCP.

Limitações e Futuro:
O sistema depende da precisão dos LLMs (risco de alucinação, sensibilidade a orçamentos de tokens) e requer revisão humana para ações corretivas. Trabalhos futuros incluem avaliação empírica formal de precisão/recall, exportação de regras para scanners (Semgrep/YARA) e monitoramento automático de registros de servidores MCP (como Smithery e Glama).

Em suma, o MCPThreatHive estabelece um novo padrão para a gestão proativa de riscos em ecossistemas de agentes de IA conectados via MCP.