À medida que as implantações corporativas amadurecem, alguns agentes corporativos de IA estão mudando da leitura de conteúdo para a ação. Nesta postagem, o Microsoft Incident Response aborda um padrão de ataque que visa a parte de crescimento mais rápido da cadeia de suprimentos de IA de agência: ferramentas de Mannequin Context Protocol (MCP). A postagem fornece um guide prático para detectar, conter e prevenir esse tipo de ataque usando os controles de segurança da Microsoft.
Da leitura à atuação
Esta é a terceira postagem da série AI Utility Safety. Série 1 de aplicativos de IA: considerações de segurança ao adotar ferramentas de IA examinou como a adoção da IA expande a superfície de ataque empresarial. Série 2 de aplicativos de IA: detecção e análise de abuso imediato em ferramentas de IA mostrou como a injeção indireta imediata pode influenciar a saída de um resumidor de IA passivo. Em ambos os casos, a IA apenas leu conteúdo e produziu texto, não agiu. Esta postagem aborda o que acontece quando esse limite muda.
Os agentes de IA podem planejar tarefas em várias etapas, decidir quais ferramentas invocar e executar ações em nome do usuário. O Microsoft 365 Copilot pode redigir e enviar emails, criar documentos e atualizar entradas de calendário. O Copilot Studio e o Azure AI Foundry permitem que as organizações criem agentes personalizados que se conectam a sistemas de negócios por meio do MCP. À medida que a IA é cada vez mais utilizada em fluxos de trabalho de leitura e gravação, o perfil de impacto das vulnerabilidades pode mudar. Uma injeção imediata em um resumidor pode distorcer uma saída. Uma injeção imediata contra um agente pode desencadear uma ação.
De acordo com o Corporação Internacional de Dados (IDC)prevê-se que o número de agentes ativos de IA nas empresas cresça de 28,6 milhões em 2025 para mais de 2,2 mil milhões em 2030. É por esta escala que a OWASP Prime 10 para aplicativos Agentic, lançado em dezembro de 2025agora está ao lado do LLM Prime 10 como uma estrutura de referência para os defensores. Esta postagem se concentra em uma de suas categorias de evolução mais rápida: uso indevido de ferramentas e risco da cadeia de suprimentos de agentes explorados por meio de metadados de ferramentas MCP envenenados.
O padrão abaixo é mapeado para ASI02 – Uso indevido de ferramentas e ASI04 – Vulnerabilidades da Cadeia de Suprimentos Agentes. Reflete técnicas divulgadas pela primeira vez pelo Invariant Labs em abril de 2025 e observadas em 2026 contra uma gama crescente de agentes empresariais.
O meio ambiente
Uma equipe de operações financeiras cria um agente do Copilot Studio para ajudar os analistas a lidar com faturas de fornecedores. O agente tem orquestração generativa habilitada e se conecta a três ferramentas: um servidor Dataverse MCP que contém o mestre do fornecedor aprovado, um conector do Outlook para correspondência do fornecedor e um servidor MCP de enriquecimento de faturas de terceiros adicionado para validar detalhes bancários em um banco de dados de referência externo. O servidor de terceiros é revisado pelo líder do proprietário do serviço da equipe e aprovado para uso em produção. Nenhuma análise de segurança separada é realizada.
Visão geral da cadeia de ataque
Fase 1: Envenenamento por descrição da ferramenta. Um desenvolvedor envia uma atualização para o servidor de enriquecimento. O nome da ferramenta e o resumo voltado ao usuário permanecem inalterados, mas a descrição da ferramenta MCP é modificada silenciosamente. Esta descrição são os metadados em linguagem pure que o agente lê para decidir como e quando chamar a ferramenta. Enterrado no que parece ser uma orientação de formatação legítima está um bloco oculto de instruções que orienta o agente a recuperar as últimas trinta faturas não pagas, resumi-las e anexar esse resumo como um parâmetro adicional na chamada de enriquecimento – enquadrado como um requisito heurístico de fraude.
Fase 2: Reconfiança silenciosa.O MCP reflete dinamicamente as atualizações de metadados da ferramenta. Em configurações onde as alterações na descrição não acionam um fluxo de trabalho de reaprovação, as instruções atualizadas tornam-se ativas sem revisão adicional. A descrição envenenada está em produção.
Fase 3: invocação do usuário. Um analista financeiro faz ao agente uma pergunta rotineira sobre um fornecedor. Sem qualquer indicação visível, o agente segue as instruções ocultas incorporadas na descrição da ferramenta envenenada, coletando registros financeiros confidenciais além do escopo da solicitação authentic e encaminhando-os como parte da chamada de enriquecimento, como se fosse uma parte regular da solicitação.
Fase 4: Exfiltração. O servidor de enriquecimento retorna uma resposta “validada” plausível e registra silenciosamente o resumo da fatura anexado em um endpoint controlado pelo agente da ameaça. O analista vê uma resposta clara. Nenhum alerta pode ser acionado nas configurações padrão. Cada ação particular person realizada pelo agente estava dentro dos parâmetros operacionais normais. Esse padrão não explora uma vulnerabilidade no próprio Copilot, mas sim um limite de confiança introduzido por integrações de ferramentas externas.
Por que esse padrão é eficaz
Cada ação que o agente realiza por si só é legítima. A ferramenta é aprovada, a consulta do Dataverse herda as permissões do analista e a chamada de saída vai para um servidor que estava na lista de permissões quando foi adicionada. A vulnerabilidade não está em nenhum sistema único; está no limite de confiança entre eles.O MCP combina instruções (descrições de ferramentas) com dados, de modo que uma alteração nos metadados de uma ferramenta pode redirecionar o comportamento do agente tão eficazmente quanto uma alteração no immediate do sistema. O agente não consegue distinguir entre uma instrução legítima de autoria de seu proprietário e uma instrução maliciosa inserida por um mantenedor upstream.
Orientação de mitigação e proteção
Detecção e resposta com ferramentas de segurança da Microsoft
Os controles mapeados na Figura 1 aplicam-se em quatro pontos da cadeia de ataque, cada um apoiado por um recurso específico da Microsoft:
- Governe a cadeia de abastecimento. Mantenha uma lista de permissões em nível de locatário de editores e servidores MCP aprovados. O Catálogo Microsoft MCP fornece uma lista de servidores próprios, revisa e avalia onde a procedência é verificável. Desativar Permitir tudo em conexões MCP e habilite apenas as ferramentas específicas que um agente precisa.
- Inspecione os metadados da ferramenta. Use Immediate Shields no Azure AI Content material Security para inspecionar o conteúdo que flui das respostas e descrições da ferramenta MCP no contexto do agente. Alertas de proteção de carga de trabalho de IA do Defender for Cloud sobre prompts suspeitos e saídas de ferramentas em tempo de execução. Revise as alterações de metadados nas ferramentas de produção com o mesmo rigor que as alterações nos prompts do sistema.
- Guarde a ação. As políticas de Prevenção de Perda de Dados (DLP) do Microsoft Purview inspecionam parâmetros de chamada de ferramenta e podem bloquear dados confidenciais em cargas de saída. Para ações de alto impacto, como acesso a dados financeiros, compartilhamento externo ou alterações de conta, configure a aprovação humana por meio do Copilot Studio. Atribua a cada agente uma identidade não humana no ID do Agente Microsoft Entra e aplique o Acesso Condicional à sua identidade de carga de trabalho.
- Correlacionar a cadeia. Quando a telemetria do servidor MCP é instrumentada e encaminhada para o Microsoft Sentinel, ela pode ser correlacionada com sinais de comportamento do agente para sinalizar sequências anômalas. O Microsoft Defender para aplicativos em nuvem apresenta novos pontos de extremidade externos com os quais um agente começou a interagir. Os registos de auditoria do Microsoft Purview fornecem o rasto de provas para investigação e revisão pós-incidente.
Três princípios para governança da cadeia de suprimentos de agentes
Trate cada servidor MCP como parte da cadeia de suprimentos. Cada servidor MCP que um agente pode chamar é uma dependência de produção. Mantenha um inventário de editores aprovados, revise as descrições das ferramentas durante a revisão de segurança, em vez de depender apenas dos nomes das ferramentas, e exija um proprietário documentado para qualquer servidor de terceiros antes do uso em produção.
Trate as descrições das ferramentas como prompts do sistema. Como os modelos podem ler metadados de ferramentas como parte de seu contexto de trabalho, uma alteração nesses metadados é equivalente a uma alteração nas instruções do agente. Exija revisão de alterações para atualizações de descrição de ferramentas em agentes críticos e use Immediate Shields para inspecionar metadados em busca de linguagem imperativa que não pertence a um campo de documentação.
Aplique menos agência, e não apenas menos privilégio. Há fatores importantes a serem considerados para permissões. Mesmo um agente com permissão mínima pode causar danos se tiver muita autonomia. Desligar Permitir tudo acesso a ferramentas, exigem aprovação humana para ações de alto impacto e estabelecem comportamentos básicos do agente no Microsoft Sentinel para que desvios da norma, como novos pontos de extremidade, parâmetros expandidos ou padrões de consulta incomuns, acionem alertas.
Conclusão
Os agentes que atuam em nome dos utilizadores dependem de uma cadeia de fornecimento de ferramentas que cresce à medida que os programas de governação continuam a evoluir. Um ator de ameaça que modifica a descrição de uma ferramenta pode influenciar os agentes que dependem dela, mesmo sem envolver diretamente um usuário, um immediate ou uma credencial. O OWASP Prime 10 for Agentic Functions fornece a estrutura.
Os recursos de segurança da Microsoft, incluindo proteções do Copilot Studio, Immediate Shields, Defender for Cloud AI Safety, Microsoft Entra Agent ID, Microsoft Purview DLP, Microsoft Defender for Cloud Apps e Microsoft Sentinel, fornecem os controles. O que resta é aplicá-los deliberadamente aos fluxos de trabalho dos agentes: definir permissões, governar a cadeia de fornecimento de ferramentas, monitorar o comportamento dos agentes e realizar exercícios de pink teaming antes da implantação.
Referências
A Microsoft segue práticas de divulgação coordenadas e não divulga detalhes de nenhuma organização afetada específica.
Esta pesquisa é fornecida pela Microsoft Defender Safety Analysis, Mohammed Zaid, e com contribuições de membros do Microsoft Risk Intelligence.
Saber mais
Para obter as pesquisas de segurança mais recentes da comunidade Microsoft Risk Intelligence, confira o Weblog de Inteligência de Ameaças da Microsoft.
Para ser notificado sobre novas publicações e participar de discussões nas redes sociais, siga-nos no LinkedIn, X (anteriormente Twitter)e Céu Azul.
Para ouvir histórias e insights da comunidade Microsoft Risk Intelligence sobre o cenário de ameaças em constante evolução, ouça o Podcast de Inteligência de Ameaças da Microsoft.
Revise nossa documentação para saber mais sobre nossos recursos de proteção em tempo actual e como ativá-los em sua organização.