Indústria Do MCP Responde À CVE Com Registro De Servidores Confiáveis E Allowlist Obrigatória

Uma semana depois de a CVE-2026-90417 expor variáveis de ambiente com chaves de API em milhares de agentes, a cadeia do Model Context Protocol respondeu com estrutura, não com nota de rodapé: nesta quarta-feira, 7 de outubro, provedores e mantenedores publicaram um registro público de servidores MCP verificados e três orquestradores passaram a exigir allowlist explícita por agente como condição de inicialização.

O Registro Público

• Verificação por assinatura: cada servidor listado no registro é publicado com origem autenticada e hash do pacote conferido contra o repositório original;
• Status de correção: a página marca a versão mínima segura do mcp-bridge, hoje na linha 3.4.2, e bloqueia a entrada de instalações antigas;
• Cobertura inicial: os 200 servidores mais usados já estão catalogados, com meta de incluir o restante do ecossistema até o fim do mês;
• Auditoria contínua: a Manifold Security, responsável pela divulgação original da falha, assume a varredura semanal do registro.

Allowlist Vira Padrão

A segunda frente é a que muda o comportamento de quem desenvolve. Em vez de aceitar qualquer servidor que o agente solicite, os orquestradores agora partem de uma lista branca por projeto: ferramenta a ferramenta, escopo a escopo, com negação por padrão. É o mesmo princípio que a NVIDIA defendeu ao lançar a Open Agent Safety Platform, em 29 de setembro, e que o framework da Casa Branca reforçou em 1º de outubro — os controles precisam viver fora do modelo, no plano do host.

Depois da CVE, deixar um servidor de ferramentas aberto na internet passou de opção de protótipo para falha de arquitetura.

O Que Ainda Falta

O balanço do fim de semana contabilizou 9.800 endpoints ainda acessíveis sem autenticação 48 horas após o aviso. O registro e a allowlist atacam a origem do problema, mas não recuperam as chaves já expostas: a rotação segue sendo a ação urgente para quem viu requisições à rota comprometida nos últimos dias. E o relógio regulatório aperta — a Austrália propôs notificação em 24 horas para incidentes com agentes, e o projeto de lei deve ser apresentado ainda esta semana.