COPEX: como ataques podem manipular modelos que usam MCP
O benchmark COPEX avaliou nove modelos em 3.375 testes e mediu como ataques exploram diferentes camadas de sistemas MCP.
👁 117 leituras
O artigo foi publicado no arXiv e aceito como pôster no NeurIPS 2026 Workshop on Agents in the Wild. Os seis autores são Nahom Birhan, Mehrdad Rostamzadeh, Sidhant Narula, Mahmoud Nazzal, Mohammad Ghasemigol e Daniel Takabi.
O que é MCP e qual é o problema
O Model Context Protocol (MCP) é um padrão que permite que modelos de linguagem usem ferramentas externas: chamem funções, obtenham dados e se comuniquem com servidores. Nesse tipo de sistema, o modelo atua como cliente MCP e recebe instruções do usuário, esquemas das ferramentas disponíveis, resultados de operações e mensagens do protocolo. Cada um desses canais pode ser um ponto de entrada para tentativas de influenciar o comportamento do modelo de forma indesejada.
Os autores destacam um problema metodológico específico: os testes de segurança existentes para agentes de IA avaliam o sistema implantado como um todo, e não apenas o modelo. Assim, fica difícil determinar se o modelo é vulnerável a um ataque ou se a infraestrutura ao redor - mecanismos de proteção, orquestração e capacidades gerais para executar tarefas - o protege ou o expõe. O COPEX busca resolver essa questão.
O que é COPEX e como funciona
COPEX (COntext Provider EXploitation) é um benchmark projetado para isolar o modelo como cliente MCP. A estrutura do agente ao redor permanece igual; apenas o modelo avaliado muda. Assim, os resultados dizem respeito à vulnerabilidade de um modelo específico, e não à do sistema inteiro.
O benchmark reúne 25 tipos de ataque, organizados em 125 cenários. Os ataques foram divididos conforme quatro superfícies de entrada:
- modelo e agente;
- cliente;
- servidor e ferramenta;
- transporte.
Os testes foram realizados com nove modelos, em um total de 3.375 tentativas.
Resultados do COPEX em números
A taxa média de sucesso dos ataques foi de 64,4%. Considerando as superfícies de entrada, as médias variaram de 58,3% a 71,4%. Os autores ressalvam que alguns ataques nas camadas do cliente e do transporte conseguem agir, em parte, fora da observação ou do controle do próprio modelo. Isso significa que é preciso distinguir a vulnerabilidade do modelo da exposição do sistema como um todo.
O estudo também avaliou a eficácia das defesas. A combinação de verificações de entradas e de contexto reduziu em 49,6% a taxa média de sucesso dos ataques. Esse resultado, porém, se refere a um subconjunto de oito ataques e à comparação com uma configuração sem qualquer proteção. O documento não detalha como essa defesa funciona nem quais ataques específicos foram incluídos no subconjunto avaliado.
O que o estudo não informa
O resumo não identifica os nove modelos testados. Portanto, não é possível saber quais sistemas foram avaliados nem o tamanho das diferenças entre eles. O texto também não detalha os 25 tipos de ataque nem a metodologia de verificação usada como defesa. O benchmark está disponível publicamente no endereço indicado no artigo, mas seu conteúdo vai além do texto fornecido.
Google · Suas fontesBrilhe mais no seu Google com um cliqueAdicionar às fontes preferidas →O que os resultados do COPEX significam
Uma taxa de sucesso dos ataques de 64,4% sem proteções é um resultado difícil de ignorar: indica que, em média, os modelos testados como clientes MCP foram vulneráveis à manipulação na maioria das tentativas. Também importa a distinção feita pelos autores: alguns ataques funcionam não porque o modelo seja fraco, mas porque estão fora do seu alcance. Isso deve mudar a forma de pensar sobre quem é responsável pela segurança desses sistemas: o modelo, sozinho, não basta como única linha de defesa. O benchmark oferece uma ferramenta para comparar modelos com mais precisão, embora a falta de uma lista dos modelos avaliados dificulte entender o quanto os resultados distinguem, na prática, os sistemas testados.
Fonte: arXiv cs.AI: COPEX: Benchmarking LLM Robustness to Adversarial Context Across Model Context Protocol (MCP) Layers (documento de 2026-10-20). Esta análise foi feita com base no texto integral do documento, não em relatos de outros veículos.
Tópicos relacionados no Centelharm
