11 MINUTOS DE LEITURA
MCP para empresas: o que exigir antes de ligar a IA
Por:
Henrique Sabino
MCP para empresas é o uso do Model Context Protocol, um padrão aberto, para ligar assistentes de IA aos sistemas internos da empresa, como CRM, ERP e banco de dados. O protocolo resolve a conexão, não a segurança. Quem contrata precisa exigir autorização correta, escopo mínimo, auditoria e um começo só de leitura.
A conversa costuma chegar pelo lado errado: alguém viu uma demonstração em que a IA consulta pedidos e responde clientes, e quer o mesmo para amanhã. Na Wama, a IA entra em código e automação, com Claude Code e os agentes do Framer, e todo resultado passa por leitura humana antes de ir ao cliente. Essa regra, descrita no texto sobre Claude Code no desenvolvimento, vale ainda mais quando a IA ganha acesso a dados reais.
O que é MCP e por que a empresa deveria se importar?
O MCP é um protocolo que padroniza como um aplicativo de IA descobre e chama ferramentas externas. Cada sistema ganha um servidor MCP que expõe ações (consultar cliente, abrir chamado, gerar relatório), e o assistente decide quando usar cada uma. Antes, cada integração era feita à mão, uma por modelo e uma por sistema.
Para a empresa, o efeito prático é que a IA deixa de ser uma janela de conversa e passa a agir dentro da operação. Grandes fornecedores já oferecem servidores prontos: a Microsoft documenta um servidor MCP para o Microsoft Graph, em página de 20 de maio de 2026, que dá a agentes acesso a dados do Microsoft 365. Esse movimento é parecido com o que aconteceu com os agentes de IA do Framer para empresas: a ferramenta fica fácil de ligar, e a decisão sobre o que ela pode tocar continua sendo sua. Quem já pesquisou como a IA lê o site, no caso do ChatGPT criando sites para empresa, percebe o salto: aqui ela lê e escreve no sistema.
Quais riscos o OWASP já mapeou no MCP?
O OWASP, fundação que publica as listas de risco mais usadas em segurança de software, mantém um MCP Top 10, em versão beta na página atualizada em 13 de setembro de 2026. A lista começa por má gestão de tokens e exposição de segredos (MCP01) e escalada de privilégio por escopo que cresce aos poucos (MCP02).
Na sequência vêm envenenamento de ferramentas, ataques à cadeia de dependências, injeção de comandos e injeção de instruções escondidas no conteúdo que o modelo lê. Os três últimos itens interessam a quem decide: falta de auditoria e telemetria (MCP08), servidores MCP instalados sem aprovação (MCP09) e contexto compartilhado além da conta (MCP10).
A leitura prática é direta. Um servidor MCP é um software com credenciais na mão, recebendo ordens de um modelo que pode ser enganado por um texto qualquer. Por isso o cuidado lembra o de qualquer camada de proteção do site, como o firewall do Framer: barreira na porta ajuda, mas não substitui saber quem entra e o que pode fazer.
O que a especificação obriga na autorização
A especificação de autorização do MCP, versão de 25 de novembro de 2025, é a régua técnica para servidores acessíveis pela rede. Ela segue o OAuth 2.1 e traz exigências que o comprador pode cobrar em contrato, mesmo sem ler código.
PKCE obrigatório: o cliente de IA precisa usar essa proteção no fluxo de login, o que impede que um código de autorização roubado vire acesso.
Token com destino certo: o servidor deve validar que o token foi emitido para ele e recusar qualquer outro.
Sem repasse de token: o servidor não pode aceitar o token do usuário e repassá-lo intacto para outra API.
HTTPS em todos os endereços de autorização, sem exceção para ambiente de produção.
Em empresa regulada, essa conversa se soma ao que já se exige no desenvolvimento de software para fintech: trilha de quem acessou o quê e permissão por perfil. Se o fornecedor não sabe responder como cumpre esses quatro pontos, o projeto ainda é protótipo.
Por que começar só com leitura?
Começar com ferramentas só de leitura limita o estrago possível enquanto a equipe aprende como o assistente se comporta com dados reais. O guia de padrões corporativos da Microsoft para MCP recomenda exatamente essa ordem: servidores só de leitura primeiro, lista de servidores aprovados, identidade do usuário preservada de ponta a ponta e aprovação humana antes de qualquer escrita de alto impacto.
O mesmo guia faz um alerta que vale ouro para quem compra: o gateway não pode ser o único ponto de controle. Permissões e escopos precisam ser checados também dentro do servidor MCP e no próprio banco de dados, em camadas.
A Wama aprendeu, usando IA na construção dos próprios projetos, que ela acelera a construção, não a decisão; o prazo total não mudou. Com MCP acontece o mesmo: ligar o servidor é rápido, decidir quais ações ele expõe e quem aprova cada escrita é o trabalho de verdade. Quem pensa em criar um SaaS com IA esbarra na mesma pergunta mais cedo ou mais tarde.
Checklist para pedir ao fornecedor
Este checklist resume o que a especificação, o OWASP e o guia da Microsoft pedem, traduzido em perguntas que cabem numa reunião de proposta.
Pergunta ao fornecedor | Resposta que você quer ouvir |
|---|---|
Quais ferramentas o servidor expõe na primeira fase? | Uma lista curta, só de leitura. |
Com qual identidade a IA acessa os dados? | Com a do usuário, nunca com uma conta mestra. |
Como o token é validado? | OAuth 2.1 com PKCE e checagem de destino. |
Onde ficam os segredos? | Em cofre, com validade curta, fora do prompt. |
O que fica registrado? | Cada chamada, com usuário, ferramenta e resultado. |
Quem aprova uma ação de escrita? | Uma pessoa, antes da execução. |
Pergunte também quem será dono do código do servidor. Quando o cliente exige ser dono do código, a Wama encaminha o projeto para desenvolvimento sob medida, e a mesma lógica serve aqui: servidor MCP que mexe no seu dado deveria ficar na sua conta, como explica o artigo sobre software sob medida com dono do código.
Erros comuns
Instalar servidor da internet sem revisão. Um servidor MCP aberto é dependência como qualquer outra e pode trazer código malicioso.
Usar uma conta de serviço com acesso a tudo. A IA passa a enxergar o que nenhum usuário deveria ver, e a auditoria perde o rastro de quem pediu.
Confiar só no gateway. Se a checagem de permissão mora em um lugar só, uma falha nele abre o resto.
Liberar escrita no primeiro mês. Abrir chamado, mandar email ou alterar cadastro sem aprovação humana transforma erro do modelo em erro da empresa.
Não medir. Sem registro de chamadas, ninguém sabe se o assistente ajudou ou só gastou. Vale a mesma disciplina de produto que guia o desenvolvimento de SaaS: hipótese, uso real, ajuste.
Perguntas frequentes
MCP substitui uma API?
Não. O servidor MCP normalmente fica na frente de APIs que já existem e as descreve de um jeito que o modelo de IA entende. A API continua fazendo o trabalho, com as próprias regras de permissão. Por isso a segurança precisa existir nas duas camadas, e não apenas no servidor MCP recém instalado.
Preciso de um servidor MCP sob medida?
Depende do sistema. Ferramentas grandes, como o Microsoft 365, já têm servidores oficiais, e vale começar por eles. Sistema interno, legado ou com regra de negócio própria quase sempre pede um servidor feito sob medida, com ferramentas desenhadas para o que a equipe realmente precisa consultar e nada além disso.
O MCP é seguro para dados sensíveis?
O protocolo pode ser usado com segurança, mas não garante segurança sozinho. A especificação define autorização com OAuth 2.1, e o OWASP lista dez riscos ainda em versão beta. Com dado sensível, comece só com leitura, com a identidade do próprio usuário, registro de cada chamada e revisão humana do que sai.
A Wama usa IA nos próprios produtos?
Sim. O ManyFeed, SaaS de prova social da própria Wama, foi construído com IA. No dia a dia de projeto, a IA entra em código e automação, com Claude Code e os agentes do Framer, e nenhum resultado chega ao cliente sem leitura humana antes. A decisão de produto continua sendo de pessoas.
Por onde começar um projeto de MCP na empresa?
Escolha um processo com muita consulta repetida e pouco risco, como buscar o status de um pedido. Liste as ferramentas mínimas, só de leitura, ligue com a identidade do usuário e registre tudo por algumas semanas. Com o uso medido, discuta quais escritas valem a aprovação humana e o investimento.
Se a sua empresa está pensando em ligar a IA a um sistema próprio e quer começar pelo escopo certo, converse com a Wama sobre o projeto.
