--- id: CP-264 slug: agentes-ia-ferramentas-mcp lang: pt title: Agentes de IA, ferramentas e protocolo MCP description: "Um agente de IA chama ferramentas em seu nome: correio, ficheiros, API. O que pode correr mal e como limitar os seus direitos." canonical_url: https://startbrain.io/cyberpedia/pt/articles/agentes-ia-ferramentas-mcp/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/agentes-ia-ferramentas-mcp.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Agentes de IA, ferramentas e protocolo MCP», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/agentes-ia-ferramentas-mcp/ (CC BY 4.0) wing: 4 theme: master_ai reflex: air-048 schema: G3 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/agentes-ia-ferramentas-mcp/ fr: https://startbrain.io/cyberpedia/fr/articles/agents-ia-outils-mcp/ en: https://startbrain.io/cyberpedia/en/articles/ai-agents-tool-use-mcp/ de: https://startbrain.io/cyberpedia/de/articles/ki-agenten-werkzeuge-mcp/ es: https://startbrain.io/cyberpedia/es/articles/agentes-ia-herramientas-mcp/ it: https://startbrain.io/cyberpedia/it/articles/agenti-ia-strumenti-mcp/ nl: https://startbrain.io/cyberpedia/nl/articles/ai-agents-tools-mcp-protocol/ sources: - "n": 1 title: "Toolformer: Language Models Can Teach Themselves to Use Tools" publisher: arXiv url: https://arxiv.org/abs/2302.04761 published: "2023-02-09" accessed: "2026-11-03" - "n": 2 title: "ReAct: Synergizing Reasoning and Acting in Language Models" publisher: arXiv url: https://arxiv.org/abs/2210.03629 published: "2022-10-06" accessed: "2026-11-03" - "n": 3 title: LLM06:2025 Excessive Agency publisher: OWASP url: https://genai.owasp.org/llmrisk/llm062025-excessive-agency/ accessed: "2026-11-03" - "n": 4 title: LLM01:2025 Prompt Injection publisher: OWASP url: https://genai.owasp.org/llmrisk/llm01-prompt-injection/ accessed: "2026-11-03" - "n": 5 title: "Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection" publisher: arXiv url: https://arxiv.org/abs/2302.12173 published: "2023-02-23" accessed: "2026-11-03" - "n": 6 title: Prompt injection is not SQL injection (it may be worse) publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection published: "2025-12-08" accessed: "2026-11-03" - "n": 7 title: "Technical Blog: Strengthening AI Agent Hijacking Evaluations" publisher: NIST url: https://www.nist.gov/news-events/news/2025/01/technical-blog-strengthening-ai-agent-hijacking-evaluations published: "2025-01-17" accessed: "2026-11-03" - "n": 8 title: Security and governance - Microsoft Copilot Studio publisher: Microsoft url: https://learn.microsoft.com/en-us/microsoft-copilot-studio/security-and-governance accessed: "2026-11-03" --- # Agentes de IA, ferramentas e protocolo MCP Um agente de IA é um modelo de linguagem a quem foram dadas ferramentas: ler uma caixa de correio, abrir ficheiros, navegar num sítio web, chamar uma API. Trabalhos de investigação de 2022 e 2023 descrevem modelos treinados para decidir que API chamar, quando a chamar e com que argumentos [1], ou solicitados com alguns exemplos para alternarem raciocínio e ações e consultarem fontes externas [2]. A OWASP, que mantém a lista dos principais riscos das aplicações baseadas em modelos de linguagem, fala de «agency»: a capacidade de chamar funções ou interagir com outros sistemas através de extensões, a que os fornecedores também chamam ferramentas, competências ou plugins. A escolha da extensão a executar pode ser confiada ao próprio agente, que decide com base no pedido ou no resultado de uma chamada anterior [3]. Para o colaborador, a questão fica simples: o que pode este agente fazer em meu nome e quem verifica antes de isso ser feito? ## Em 30 segundos - Onde acontece: em qualquer assistente que leia os seus emails, os seus documentos ou páginas web e que possa agir (enviar ou apagar) sem que clique a cada passo [3]. - O que quer o atacante: introduzir uma instrução num conteúdo que o agente vai ler, para que aja em seu lugar, por exemplo reencaminhando emails sensíveis [3]. - O reflexo: O reflexo: dar ao agente o mínimo estritamente necessário de direitos, exigir a sua validação antes de qualquer ação com efeito (envio, eliminação, publicação) e rever o que ele preparou [3]. - Se já aconteceu: avise a sua equipa de segurança, indicando a data e as ferramentas ligadas ao agente nesse momento. Os registos de atividade das ferramentas servem para detetar ações anormais [3]. ## Perguntas diretas ### O que distingue um agente de um simples assistente de conversa? Um assistente de conversa responde. Um agente age: faz chamadas repetidas ao modelo, apoiando-se no resultado das chamadas anteriores para orientar as seguintes [3]. Cada ferramenta ligada alarga o que um erro ou uma manipulação podem provocar. ### O que é o protocolo MCP? As fontes reunidas para esta ficha não descrevem o MCP. Tratam de ferramentas, extensões e conectores em geral, e os riscos descritos mais abaixo aplicam-se a qualquer meio de ligar um agente a uma ferramenta. O protocolo em si não é, por isso, detalhado aqui. ### O que é uma injeção de prompt indireta? É o caso em que o modelo recebe instruções ocultas num conteúdo externo, como um sítio web ou um ficheiro, e altera o seu comportamento por causa delas [4]. Investigadores mostraram em 2023 que esta via permite atacar à distância, sem interface direta, aplicações que integram um modelo, colocando as instruções em dados suscetíveis de serem recolhidos [5]. O atacante não precisa de aceder à IA: escreve algo que acabará por ser lido por ela [6]. O texto pode até ser invisível para um humano, desde que o modelo o interprete [4]. ### É possível bloquear estes ataques com um filtro? Não por completo. A OWASP considera incerto que exista uma prevenção infalível [4]. O NCSC britânico explica que os modelos atuais não fazem qualquer distinção entre instruções e dados: limitam-se a prever a palavra seguinte. Considera que a injeção de prompt poderá nunca ser totalmente corrigida, ao contrário da injeção SQL, e recomenda reduzir o risco e o impacto [6]. Alerta também contra os produtos que pretendem «parar» a injeção de prompt [6]. ### O que devo rever antes de deixar o agente agir? Tudo o que sai do seu perímetro: emails enviados ou ficheiros partilhados. A OWASP dá o exemplo de um envio de email em que o utilizador revê e valida cada mensagem redigida pelo agente [3]. ## Como funciona Uma aplicação confia ao modelo um conjunto de ferramentas e deixa depois o modelo escolher quais chamar [3]. As instruções do programador e o conteúdo a tratar (um email, uma página, um ficheiro) chegam numa mesma entrada. Os agentes atuais assentam, em geral, nesta mistura entre instruções de confiança e dados não fiáveis [7]. O NCSC tira daqui uma consequência prática. Quando o agente chama ferramentas ou API com base no que diz o modelo, um atacante que o manipule obtém o equivalente a um acesso direto a essas ferramentas, com o pior cenário que isso implica [6]. ## O que faz A OWASP enumera as medidas que reduzem o excesso de poder de um agente. Nem sempre controla a sua configuração, mas pode pedi-las à equipa que implementa a ferramenta. - Reduzir as ferramentas: se o agente não precisa de ler um endereço web, não lhe é oferecida essa função [3]. - Reduzir as funções: uma extensão que resume emails só precisa de os ler, não de os apagar nem de enviar outros [3]. - Preferir ferramentas precisas a ferramentas abertas, do tipo «executar um comando»: com estas, qualquer outro comando pode ser lançado [3]. - Reduzir as permissões: uma ferramenta de leitura de uma base de dados não deve ligar-se com uma identidade que também possa modificar ou apagar [3]. - Agir com os seus próprios direitos, e não com uma conta genérica muito privilegiada. Para um repositório de código, a OWASP cita uma ligação OAuth com o âmbito mínimo [3]. - Exigir validação humana para as ações de grande impacto [3]. - Registar a atividade das ferramentas para detetar ações anormais e limitar o débito, de modo a reduzir o número de ações indesejadas possíveis num dado intervalo de tempo [3]. O NCSC propõe uma regra simples: quando um modelo trata informações vindas de um terceiro, os seus privilégios descem para os desse terceiro. Um agente que lê emails de pessoas externas não deve, portanto, ter acesso a ferramentas privilegiadas [6]. Do lado das plataformas, a Microsoft descreve para o Copilot Studio controlos reservados aos administradores: políticas de dados sobre conectores, ações e pedidos HTTP, análise das dependências dos conectores antes da implementação, registos de auditoria e possibilidade de desativar a publicação de agentes que usam IA generativa. Os criadores de agentes também podem configurar as ferramentas para que se executem com as credenciais do utilizador [8]. ## As armadilhas - O agente com direitos excessivos. A OWASP distingue três causas: demasiadas funções, demasiadas permissões, demasiada autonomia [3]. Uma extensão experimentada durante o desenvolvimento e depois abandonada pode continuar acessível ao agente [3]. Uma extensão de terceiros escolhida para ler documentos pode também saber modificá-los e apagá-los [3]. - A instrução escondida num email. No exemplo da OWASP, um email recebido e armadilhado leva um assistente de correio a vasculhar a caixa de entrada e a reencaminhar informações sensíveis para o atacante [3]. - A imagem que faz fugir a conversa. Um utilizador pede à IA que resuma uma página que contém instruções ocultas, as quais a levam a inserir uma imagem que aponta para um endereço: a conversa privada sai assim [4]. - O documento alterado numa base de conhecimento. Se um atacante alterar um documento usado por uma aplicação de geração aumentada por recuperação, a resposta da IA pode tornar-se enganadora [4]. - O encadeamento entre ferramentas. Uma injeção pode vir de uma chamada anterior a uma extensão comprometida ou de outro agente comprometido num sistema multiagente [3]. - O teste único que tranquiliza sem razão. O NIST observa que um modelo pode resistir aos ataques já conhecidos e ceder a ataques concebidos para ele [7]. ## Casos reais ### Fevereiro de 2023: demonstração no Bing Chat e em assistentes de código Investigadores, entre os quais Kai Greshake e Sahar Abdelnabi, submeteram a 23 de fevereiro de 2023 um artigo que mostra ataques por injeção indireta contra sistemas reais, entre os quais o Chat do Bing baseado no GPT-4 e motores de conclusão de código. Segundo eles, tratar um prompt recolhido pode equivaler à execução de código arbitrário e controlar se e como outras API são chamadas. Assinalam a falta de defesas eficazes nesse momento [5]. ### Janeiro de 2025: a avaliação do sequestro de agentes pelo NIST A 17 de janeiro de 2025, o Center for AI Standards and Innovation do NIST publicou os seus ensaios de sequestro de agentes na estrutura AgentDojo. Os ataques concebidos especificamente para o modelo testado passaram de 11 % de sucesso (o melhor ataque de referência) para 81 % [7]. Em cinco tarefas de injeção, entre as quais o envio de um código de autenticação a um terceiro e a execução de um script malicioso, o sucesso médio foi de 57 % com uma tentativa e de 80 % com 25 tentativas por ataque [7]. Tratava-se de ambientes simulados, não de incidentes em empresas [7]. ## Fontes 1. arXiv, «Toolformer: Language Models Can Teach Themselves to Use Tools», 9 de fevereiro de 2023. https://arxiv.org/abs/2302.04761 (consultado em 3 de novembro de 2026) 2. arXiv, «ReAct: Synergizing Reasoning and Acting in Language Models», 6 de outubro de 2022. https://arxiv.org/abs/2210.03629 (consultado em 3 de novembro de 2026) 3. OWASP, «LLM06:2025 Excessive Agency». https://genai.owasp.org/llmrisk/llm062025-excessive-agency/ (consultado em 3 de novembro de 2026) 4. OWASP, «LLM01:2025 Prompt Injection». https://genai.owasp.org/llmrisk/llm01-prompt-injection/ (consultado em 3 de novembro de 2026) 5. arXiv, «Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection», 23 de fevereiro de 2023. https://arxiv.org/abs/2302.12173 (consultado em 3 de novembro de 2026) 6. NCSC (Royaume-Uni), «Prompt injection is not SQL injection (it may be worse)», 8 de dezembro de 2025. https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection (consultado em 3 de novembro de 2026) 7. NIST, «Technical Blog: Strengthening AI Agent Hijacking Evaluations», 17 de janeiro de 2025. https://www.nist.gov/news-events/news/2025/01/technical-blog-strengthening-ai-agent-hijacking-evaluations (consultado em 3 de novembro de 2026) 8. Microsoft, «Security and governance - Microsoft Copilot Studio». https://learn.microsoft.com/en-us/microsoft-copilot-studio/security-and-governance (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/agentes-ia-ferramentas-mcp/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.