MCP 2.0 explicado: Protegendo os agentes de IA antes que eles se protejam sozinhos

Nota: “MCP 2.0” é utilizado aqui como uma referência coloquial à evolução de próxima geração do Protocolo de Contexto de Modelo. O próprio MCP utiliza um sistema de numeração de versões baseado em data (por exemplo, a versão mais recente é 2025-11-25 no momento da publicação deste documento) e não define oficialmente uma versão 2.0.

Os agentes de IA não estão mais apenas respondendo a perguntas — eles estão agindo. Estão lendo arquivos. Estão modificando sistemas. E, em alguns casos, estão tomando decisões que causam repercussões em toda a empresa. É por isso que o Protocolo de Contexto de Modelo (MCP) 2.0 é importante.

Em um episódio recente do STRIVE, a série de liderança inovadora da Commvault sobre preparação cibernética, conversei com Werner Nel, diretor de Segurança e Inteligência de IA da Commvault, para analisar o que o MCP 2.0 realmente muda — e por que os líderes de segurança não podem se dar ao luxo de tratá-lo como uma simples atualização de especificações.

Esta não é uma discussão teórica. Trata-se de uma análise prática de como as empresas podem promover a inovação em IA sem aumentar seu risco potencial.

Pontos principais: O que o MCP 2.0 realmente muda

O MCP 2.0 marca uma mudança da simples adoção da IA para a prestação de contas.
O OAuth permite o acesso com o mínimo de privilégios para agentes de IA.
Esquemas estruturados podem ajudar a mitigar a injeção de prompts e o uso indevido.
Os fluxos de solicitação podem incluir pontos de pausa essenciais para ações de alto risco.
O MCP 2.0 pode ajudar a melhorar a segurança, mas não elimina os riscos.
É essencial compreender a autoridade do agente e o alcance da ação.

Por que o MCP 2.0 é um ponto de virada

O MCP 1.x tinha como foco a adoção. Isso proporcionou às empresas uma maneira de conectar modelos de IA a ferramentas e dados reais. Mas, como explica Werner, essa primeira onda nunca foi concebida para responder à questão mais difícil: como fazer com que os agentes de IA realizem tarefas reais dentro da empresa – sem transformá-los em um risco à segurança? O MCP 2.0 é a primeira tentativa séria do setor de responder a essa pergunta.

Em vez de se concentrar exclusivamente na conectividade, o foco passa a ser a autorização, o controle e a visibilidade — três aspectos com os quais as equipes de segurança se preocupam profundamente, especialmente à medida que os agentes deixam de ser meros assistentes de leitura para se tornarem atores com poder real.

As três principais mudanças na área de segurança

O OAuth chega ao MCP. O MCP 2.0 introduz o suporte ao OAuth, oferecendo às empresas uma maneira padronizada de atribuir permissões e aplicar o princípio do privilégio mínimo. Em vez de depender de suposições vagas de confiança, os agentes podem ter seu escopo limitado exatamente ao que lhes é permitido fazer — e nada mais.
Esquemas estruturados ajudam a reduzir o risco de injeção de prompt. Os esquemas estruturados funcionam como uma lista de permissões para as ações dos agentes. Se uma ferramenta não estiver explicitamente definida no esquema, ela não será executada. Isso pode ajudar a reduzir o risco de injeção de prompt e outras técnicas de manipulação que eram mais fáceis de explorar em implementações anteriores.
Os fluxos de solicitação incluem um “botão de pausa”. Esses fluxos permitem que os fluxos de trabalho sejam interrompidos no meio da execução, de modo que uma etapa de alto risco possa acionar uma confirmação, validação ou até mesmo a escalonagem de credenciais. Isso pode ajudar as equipes a abandonar a abordagem de “registrar e torcer” e passar a exercer um controle mais deliberado sobre ações confidenciais.

Prévia: MCP 2.0 em ação

Esta prévia destaca por que autoridade, alcance do impacto e reversibilidade são as três questões mais importantes que as empresas devem levar em conta ao implantar agentes de IA.

As lacunas que o MCP 2.0 não resolve (e por que isso é importante)

O MCP 2.0 é um grande passo à frente – mas não é a linha de chegada. Como Werner destaca no STRIVE, ainda existem lacunas significativas que as empresas precisam levar em conta nas implementações no mundo real. Por exemplo, as empresas ainda não conseguem provar criptograficamente de forma completa que um servidor MCP é o original autêntico (em oposição a um clone ou a uma cópia modificada). Da mesma forma, mesmo que o protocolo melhore a autorização e a disciplina na entrada de dados, as organizações ainda precisam considerar ferramentas de assinatura e binários, bem como o ambiente em que os servidores e modelos do MCP são executados — pois uma violação de segurança pode resultar em acesso amplo, dependendo de como for implementado. Conclusão: o MCP 2.0 aprimora o protocolo, mas as organizações ainda precisam tomar decisões acertadas em relação à confiança, contenção, monitoramento e supervisão.

Uma estrutura simples para avaliar o risco de agentes de IA

Um dos momentos mais práticos do episódio é a abordagem de risco em três perguntas de Werner — algo que os CISOs e arquitetos podem aplicar imediatamente:

Quais são os poderes do meu agente?
Qual é o raio de alcance da explosão?
Até que ponto a medida tomada é reversível?

Essas perguntas ajudam as equipes a passar de discussões genéricas sobre “riscos da IA” para decisões concretas sobre permissões, contenção e como lidar com ações de alto impacto que podem não ser fáceis de reverter.

Assista ao episódio completo do STRIVE

Este blog é apenas uma introdução. No podcast STRIVE completo, com 20 minutos de duração, você ouvirá:

Por que o MCP 2.0 evoluiu tão rapidamente.
O que os CISOs devem priorizar neste momento.
Para onde o MCP 3.0 provavelmente está se dirigindo.
Como as equipes de segurança podem acompanhar essa evolução à medida que os agentes se tornam mais autônomos.

Assista ao episódio completo do STRIVE no Readiverse. Aprofunde-se no assunto e avalie se você está pronto para isso.

Perguntas frequentes

P: O que é o MCP 2.0? R: O MCP 2.0 é um protocolo atualizado que rege a forma como os modelos de IA interagem com as ferramentas e os dados corporativos, com forte ênfase na segurança, na autorização e no controle. P: Em que o MCP 2.0 difere do MCP 1.x?

R: O MCP 1.x concentrava-se na conectividade e na integração. O MCP 2.0 prioriza a segurança dessas interações. P: O MCP 2.0 elimina os riscos de segurança relacionados à IA? R: Não. Ele pode ajudar a melhorar as práticas de segurança, mas deve ser combinado com uma arquitetura robusta e uma boa governança.

P: O que é um fluxo de solicitação? R: Um fluxo de solicitação permite que os fluxos de trabalho de IA sejam interrompidos para confirmação antes de executar ações de alto risco. Chris Mierzwa é diretor sênior de marketing de portfólio na Commvault.