Pesquisadores de segurança divulgaram em 11 de agosto uma técnica que contorna o treinamento de recusa em agentes de codificação de IA ao dividir uma instrução maliciosa em fragmentos entregues por meio de um servidor Model Context Protocol conectado. A conformidade média entre 11 modelos testados via API subiu de 42% para 82%.

Por que a fragmentação funciona

As verificações de segurança avaliam uma mensagem. Nenhum fragmento isolado é um pedido para roubar algo — cada um é um valor de campo inocente em uma ferramenta chamada integrity_checker, com quatro parâmetros inofensivos. A instrução só existe depois que o agente reúne as partes, quando a etapa de recusa já foi superada.

Os resultados por modelo são desiguais

GPT-4o, Gemini 2.0 Flash e Llama 3.3 70B passaram de 0% para 100%. O GPT-5.4 atendeu em 90% das vezes no Cursor e em 100% no Codex CLI, mas em 0% atrás do Claude Code — o ambiente de teste importou tanto quanto o modelo. Claude Haiku 4.5 permaneceu em 0% via API, mas chegou a 100% sob uma variante de três partes no Cursor. Entre os arquivos obtidos nos testes estavam .ssh/id_rsa, .env, customers.csv e código-fonte proprietário.

O que o ataque exige

O modelo de ameaça pressupõe que o desenvolvedor já tenha conectado o servidor MCP do invasor e que o agente tenha acesso de leitura a arquivos. Não se trata de uma tomada remota de controle de um agente arbitrário; é um problema de cadeia de suprimentos em um ecossistema no qual adicionar um servidor é uma mudança de configuração de uma linha.

Status

Trata-se de uma prova de conceito de pesquisa com uma implementação pública de referência. Não há evidências de exploração em ambiente real e não há CVE até a publicação; a divulgação coordenada ainda está em andamento.

O que realmente reduz a área de impacto

Um melhor treinamento de recusa não corrige isso. Limitar o escopo de acesso a arquivos por ferramenta, exigir aprovação explícita antes que um agente leia fora do diretório de trabalho e fixar quais servidores um projeto pode carregar — tratando servidores conectados como entrada não confiável — é o que limita os danos.