Segurança e confiança entre site e agente|INEMA.CLUB-PRO

Formação WebMCP · curso 4 de 6 · 8 aulas

Segurança e confiança entre o seu site e os agentes

Prompt injection não tem solução, e os próprios fornecedores dizem isso. O que dá para fazer é decidir o que o agente vê, o que ele pode fazer sem você e como o seu servidor recusa o que não é dele. Oito aulas, cada uma com um ataque rodando na sua máquina e o controle que o barra.

Começar pela aula 1 Ver a área da formação
Segurança e confiança entre site e agente: monitor escuro com um formulário e um cadeado, cabo plugado ao lado.
  • 8aulas curtas
  • 7casos de exposição medidos no Chromium
  • 6ataques ao servidor MCP no kit
  • 0chaves de API e custo

As aulas

Cada aula termina num comando que você roda e numa saída que confere. O kit está no próprio repositório do curso.

  1. Aula 1 · 15 minPrompt injection não tem solução: o que Anthropic e OpenAI dizemNenhum fornecedor promete que o agente resiste a prompt injection. A Anthropic disse isso com número em 24/11/2025. Nesta aula você vê os três caminhos de ataque que a spec do WebMCP descreve e prova, com um filtro de palavras, por que bloquear texto não resolve.
  2. Aula 2 · 18 minDado da página nunca é instrução: untrustedContentHint e spotlightingAvaliação, comentário, post de fórum: texto que um visitante escreveu e a sua ferramenta devolve ao agente. A spec do WebMCP tem uma anotação para avisar isso, untrustedContentHint, e deixa o tratamento com o cliente. Nesta aula você acha essas ferramentas com um canário e marca cada uma.
  3. Aula 3 · 18 minAção com consequência pede humano: confirmação e consequentialHintReservar, cancelar, pagar, apagar. O agente pode escolher a ferramenta errada, entender mal a descrição ou obedecer a um texto plantado. A spec do WebMCP responde com consequentialHint, para o cliente exigir confirmação. Nesta aula você põe a anotação e a confirmação do próprio site, e prova que recusar não muda nada.
  4. Aula 4 · 18 minQuem vê a ferramenta: mesma origem, exposedTo, iframes e Permissions-PolicyPor padrão, só a própria página e as de mesma origem enxergam a ferramenta. Um iframe de outra origem só aparece para o topo com três consentimentos, e um cabeçalho desliga tudo. Nesta aula você mede os sete casos no Chromium e põe Permissions-Policy: tools=() nas páginas que não precisam de WebMCP.
  5. Aula 5 · 20 minServidor MCP seguro: audiência, escopo mínimo, handle preso ao usuário e segredo fora do repoO OAuth do servidor você montou no curso 1. Aqui é o outro lado: seis ataques da lista de segurança do MCP (revisão 2026-07-28) contra o mesmo servidor, escrito de dois jeitos. Você vê o que o SDK oficial barra sozinho e o que só barra se você configurar.
  6. Aula 6 · 18 minIdentificar quem chega: Web Bot Auth e signed agents (rascunho IETF)User-Agent qualquer um escreve. Web Bot Auth é a proposta do IETF para o bot assinar cada pedido com uma chave publicada numa URL dele. Ainda é rascunho (-00, setembro de 2026). Nesta aula você confere uma assinatura contra o vetor do draft e vê num servidor local o que ela prova e o que não prova.
  7. Aula 7 · 20 minModelagem de ameaças de uma ferramentaO curso organiza as ameaças da §6.3 da spec do WebMCP em sete categorias (os três vetores da §6.3.1 e as seções 6.3.2 a 6.3.5), e a spec admite que não há como verificar se a ferramenta faz o que diz. Nesta aula você passa o catálogo num linter que acha o óbvio e preenche a ficha que cobre o resto.
  8. Aula 8 · 20 minAuditoria de segurança do seu site e servidorSeis verificações, uma por aula, numa execução só e com relatório datado. Você roda a auditoria no kit, planta um segredo para ver a quebra ser pega e sai com o plano de revisão: a spec muda, as dependências mudam, e a auditoria roda de novo.

Para quem é

  1. 1Quem já fez os cursos 1 a 3 da formação (servidor MCP, WebMCP na página, agentes de navegador) ou já tem ferramentas expostas a agentes.
  2. 2Dev web ou dono técnico de site que vai deixar um agente agir em nome do visitante e quer saber onde isso dá errado.
  3. 3Quem roda um servidor MCP por HTTP e quer conferir audiência, escopo e segredo antes de abrir para fora.

O que você sai fazendo

  1. 1Marcar texto de terceiro com untrustedContentHint e provar com um canário que nenhuma ferramenta escapou.
  2. 2Pôr confirmação com alvo e efeito em toda ação com consequência e testar que recusar não muda nada.
  3. 3Medir quem enxerga cada ferramenta (iframe, exposedTo, fromOrigins) e desligar o WebMCP com Permissions-Policy.
  4. 4Rodar 6 ataques contra um servidor MCP, conferir uma assinatura Web Bot Auth e fechar com a auditoria do seu site.

Onde este curso entra na Formação WebMCP

  1. 1Curso 1 ensina o servidor MCP e o OAuth; curso 2, a API WebMCP na página; curso 3, o agente que usa o site. Aqui é o lado da ameaça dos três.
  2. 2Curso 5 (expert) junta tudo em produção, com observabilidade e governança.
  3. 3Tríade letal, injeção contra um agente e sandbox do loop ficam na Formação LOOP-R Engenharia (link nas aulas 1 e 8).