Por quase dois anos, o Model Context Protocol (MCP) foi descrito como "o USB-C das ferramentas de IA": um padrão aberto para conectar agentes a sistemas, adotado por OpenAI, Google DeepMind e Microsoft. Em 2026, ele deu um salto de categoria. A nova spec (2026-07-28), o Agent Identity Working Group — com Workload Identity Federation (WIF) e Identity Assertion JWT Authorization Grant — e a Enterprise-Managed Authorization tiram o protocolo do território de "conectar ferramentas" e o colocam em outro: quem é o agente, e o que ele pode alcançar.
Essa é a fase 2 do MCP: da interoperabilidade para a identidade. E ela responde diretamente ao problema que todos levantaram em 2025 — o MCP concede ao runtime uma autoridade ambiente numa cadeia multi-hop que o IAM tradicional simplesmente não enxerga. Mas há uma armadilha na comemoração: uma spec é um contrato, não uma implementação. Com o MCP já rodando em cerca de 80% dos ambientes cloud e apenas ~5% controlando o que está exposto à internet, adotar identidade de agente e autorização gerenciada no seu stack continua sendo engenharia de integração e segurança — não um checkbox no changelog do padrão.
O que mudou no MCP: a spec 2026-07-28, o Agent Identity Working Group e a Enterprise-Managed Authorization
Três mudanças definem a virada:
- Spec 2026-07-28. A revisão mais recente do protocolo formaliza como agentes se autenticam e como sua autoridade é asserida ao longo de uma cadeia de chamadas — não apenas como uma ferramenta é descrita e invocada.
- Agent Identity Working Group. O grupo trouxe dois mecanismos emprestados do mundo de identidade de workload: Workload Identity Federation (WIF), para dar a um agente uma identidade federada verificável sem segredos de longa duração, e o Identity Assertion JWT Authorization Grant, para propagar "em nome de quem" o agente age.
- Enterprise-Managed Authorization. O modelo que responde à pergunta que faltava: qual agente acessa qual sistema, sob qual identidade e sob qual condição. É autorização governada pela empresa, não improvisada pelo runtime.
Em conjunto, esses três blocos transformam o MCP de um conector de capacidades num substrato de identidade. É a diferença entre "o agente consegue chamar a ferramenta" e "o agente está autorizado, de forma auditável, a executar aquela ação naquele sistema, agora".
De "conectar ferramentas" a "quem é o agente e o que ele alcança": a fase 2 do MCP
A fase 1 do MCP resolveu a fragmentação: em vez de N integrações ponto-a-ponto entre modelos e ferramentas, um protocolo comum. Isso resolveu o "como conectar". O que ficou em aberto foi o "quem está do outro lado da conexão" e "o que ele tem permissão de fazer".
Esse buraco não é acadêmico. Quando um agente atravessa múltiplos servidores MCP para completar uma tarefa — lê um documento, consulta um banco, dispara uma ação num sistema de terceiros — ele acumula uma cadeia de chamadas em que a autoridade é herdada de forma implícita. O provedor de identidade não sabe por qual servidor MCP a requisição passou, nem se a descrição da ferramenta que foi executada bate com a que foi revisada em auditoria. É a autoridade ambiente: permissões que "existem no ambiente" sem uma identidade forte amarrada a cada salto.
Um exemplo torna concreto: um agente de suporte recebe um pedido, consulta um servidor MCP de base de conhecimento, e esse servidor — por sua vez — chama um segundo servidor MCP que tem acesso ao banco de clientes. Se a autoridade for herdada implicitamente, o agente de suporte acaba com acesso efetivo ao banco de clientes que ninguém concedeu explicitamente. Sem identidade forte em cada salto, "quem autorizou isto?" não tem resposta. É assim que uma tarefa inócua vira exfiltração de dado — não por um exploit exótico, mas por permissão herdada sem dono.
A fase 2 ataca exatamente isso. Dar identidade federada ao agente (WIF), asserir "em nome de quem" ele age (Identity Assertion JWT) e centralizar a decisão de autorização na empresa (Enterprise-Managed Authorization) fecha a lacuna entre "conectou" e "pode". Mas fechar a lacuna na spec é diferente de fechá-la na sua infraestrutura: o padrão diz o que a asserção deve conter; alguém ainda precisa emitir, validar e revogar essas identidades contra o seu provedor, nos seus sistemas, com as suas políticas.
O risco que o número expõe: MCP em ~80% da nuvem, só ~5% controlam o que está exposto
A escala do problema já é concreta. Levantamentos de segurança de 2026 mostram que o MCP roda em cerca de 80% dos ambientes cloud — adoção massiva, muitas vezes por baixo do radar de TI, à medida que times plugam agentes em ferramentas internas. Ao mesmo tempo, apenas ~5% das organizações controlam efetivamente o que está exposto à internet via MCP. A distância entre esses dois números é a superfície de ataque.
Não à toa, NSA e CISA publicaram, em meados de 2026, um guia de segurança específico para MCP. Servidores MCP internet-facing sem blindagem, descrições de ferramentas não verificadas e cadeias multi-hop sem rastreabilidade são o tipo de exposição que passa despercebida até virar incidente. Há ainda um vetor específico do MCP: a descrição da ferramenta que o agente lê pode ser manipulada (tool poisoning) para induzir o agente a chamar ações que ninguém revisou — e, sem verificação de que a descrição executada bate com a auditada, o ataque é invisível. Some a isso os servidores "sombra" que times sobem sem passar por TI, e a superfície cresce sozinha.
E aqui está o ponto que raramente aparece nos posts comemorativos: a spec nova endereça o modelo (identidade, autorização), mas não instala controle nenhum no seu ambiente. Os ~5% não sobem para 100% porque o padrão amadureceu; sobem quando alguém implementa gateway, autorização por conexão e inventário do que está exposto. A maturidade do contrato é condição necessária — não suficiente.
Padrão ≠ implementação: adotar WIF, autorização gerenciada e identidade de agente no seu stack é integração + segurança
Um contrato descreve o que deve acontecer; a implementação faz acontecer, no seu ambiente, com os seus sistemas legados, o seu IAM e as suas regras de compliance. Traduzir a fase 2 do MCP para produção envolve, no mínimo, quatro movimentos concretos:
- Identidade de agente via WIF. Emitir identidades federadas de curta duração para cada agente/workload, eliminando segredos estáticos e amarrando cada salto da cadeia a uma identidade verificável.
- Autorização gerenciada por conexão. Definir, de forma centralizada e com menor privilégio, qual agente pode alcançar qual sistema, sob qual condição — e revogar em tempo real quando necessário.
- Gateway API-led sobre os servidores MCP. Colocar uma camada de conexão governada (não ponto-a-ponto) na frente dos servidores MCP, com política, rate-limit e inspeção — em vez de expor cada servidor cru à rede.
- Observabilidade da cadeia prompt→ferramenta→ação. Rastrear cada requisição ao longo dos saltos multi-hop, para que "qual agente fez o quê, em nome de quem" seja uma consulta, não uma investigação forense.
Nenhum desses quatro vem pronto no changelog. Todos são engenharia de integração e de segurança sobre o ambiente específico do cliente.
Como a CCX implementa o MCP governado: integração API-led, segurança e observabilidade
É exatamente essa tradução — do padrão para a produção — que a CCX Company executa. Não vendemos o protocolo; implementamos a conexão governada sobre ele, com quatro frentes que se encaixam:
Integrações & APIs Enterprise. Conectividade governada entre sistemas e agentes via REST, GraphQL e gRPC, com arquitetura orientada a eventos (Kafka, RabbitMQ). O contrato de API vira conexão real, versionada e monitorada — não um túnel aberto.
MuleSoft / API-led connectivity. Como especialistas certificados MuleSoft (Anypoint Platform), montamos o gateway e a camada API-led que ficam na frente dos servidores MCP: conexão por design, com política e reuso, em vez de integrações ponto-a-ponto que ninguém audita.
Security Engineering. Identidade não-humana e de agente, menor privilégio por conexão, OAuth2 e Vault, WAF e princípios de zero trust — a implementação concreta do que a Enterprise-Managed Authorization descreve como modelo. Inclui pentest e análise da superfície exposta (aqueles servidores MCP internet-facing que ninguém blindou).
Observabilidade 360°. Tracing distribuído (OpenTelemetry) com Datadog, Grafana, Prometheus e Sentry para seguir a cadeia prompt→ferramenta→ação ponta a ponta — a rastreabilidade que a autoridade ambiente destrói e que a governança exige de volta.
Na prática, começamos por uma consultoria de descoberta: inventariar quais servidores MCP já existem (inclusive os "sombra"), mapear o que cada agente pode alcançar hoje e qual dessa autoridade é ambiente e não-governada. Só então desenhamos a arquitetura-alvo — WIF, autorização por conexão, gateway API-led e observabilidade — e implementamos em sprints, com QA e security contínuos e go-live assistido. É due diligence antes de blindagem: você não protege o que não sabe que está exposto.
O padrão dá o vocabulário; a CCX escreve a frase no seu ambiente. Com 200+ projetos entregues e 50+ especialistas sêniores, o resultado é sair dos ~5% que controlam o que está exposto — em vez de descobrir, em produção, que o changelog não blindou nada.
Perguntas frequentes
O que é o Model Context Protocol (MCP)? É um padrão aberto que define como agentes de IA se conectam a ferramentas, dados e sistemas — muitas vezes chamado de "USB-C da IA". Adotado por OpenAI, Google e Microsoft, ele padroniza a conexão entre modelos e capacidades externas.
O que mudou na spec do MCP em 2026? A spec 2026-07-28, somada ao Agent Identity Working Group (Workload Identity Federation e Identity Assertion JWT) e à Enterprise-Managed Authorization, levou o protocolo de "conectar ferramentas" para "identidade e autorização de agentes" — a fase 2, focada em quem é o agente e o que ele pode alcançar.
Como dar identidade a um agente de IA? Usando identidade de workload federada (WIF) para emitir credenciais verificáveis e de curta duração ao agente, propagando "em nome de quem" ele age via Identity Assertion JWT, e centralizando as decisões de acesso numa camada de autorização gerenciada — implementada sobre o seu IAM e seus sistemas.
Servidor MCP é seguro? O protocolo oferece os mecanismos, mas a segurança depende da implementação. Como o MCP roda em ~80% dos ambientes cloud e só ~5% controlam o que está exposto à internet, servidores MCP sem gateway, autorização por conexão e observabilidade são uma superfície de risco real — motivo do guia de segurança de MCP da NSA/CISA.
A spec 2026-07-28 é o contrato; a conexão governada é engenharia. Conheça as soluções de integração e segurança da CCX e leve o MCP do padrão para a produção: identidade de agente (WIF), autorização gerenciada por conexão, gateway API-led e observabilidade da cadeia multi-hop — porque padrão amadurecido não blinda ambiente; implementação, sim.