Segurança de IA Enterprise com MCP Gateway & Guardrails em Tempo de Execução

Realizamos um webinar com a equipe da Palo Alto Networks com mais de 400 pessoas conectadas de diferentes regiões e funções. Nosso objetivo na TrueFoundry sempre foi criar infraestrutura que dê suporte à sua stack de GenAI, e decidimos adotar a segurança como nosso próximo marco. Neste blog, destilamos todos os fatores-chave importantes que discutimos e aprendemos durante o webinar e os resumimos em alguns pontos principais que ajudarão você a tomar decisões sobre o dimensionamento de iniciativas de IA em toda a sua empresa. É uma leitura rápida de 6 a 7 minutos e também serve como um guia prático sobre Segurança de IA que você pode compartilhar com líderes de segurança, equipes de plataforma e desenvolvedores de IA.

Dos pacotes aos prompts: o novo perímetro é o contexto e a identidade

A segurança tradicional presumia que, se um adversário não pudesse passar pelo seu firewall, ele não conseguiria alcançar seus dados confidenciais. Hoje, um engenheiro pode colar trechos de código-fonte em um chat para "corrigir um bug" e mandar a PI confidencial direto para fora da empresa, sem que nenhum firewall seja tocado. Neste mundo, o contexto e a identidade tornam-se os novos perímetros: quem está perguntando, o que está pedindo e quais dados e ferramentas estão sendo puxados para esse contexto?

Trata-se de uma mudança fundamental no modelo de ameaças. Em vez de apenas bloquear portas ou proteger endpoints isoladamente, temos que proteger a interface de linguagem para sistemas e dados, e tudo o que essa linguagem pode fazer o sistema executar.

Por que a segurança de IA parece diferente agora?

Quatro modos de falha surgem primeiro para a maioria das equipes:

• Prompt injection & adulteração de contexto: Instruções ocultas podem ser incorporadas em chamados de suporte, páginas do SharePoint, históricos longos de chat ou documentos recuperados e serem tratadas como contexto válido.‍
• Vazamento de dados (exfiltração): Textos confidenciais podem aparecer em prompts ou outputs, o que inclui PII, segredos, planos internos e até artefatos de treinamento.‍
• Conteúdo tóxico/inadequado para a marca: Gerações que violam as políticas da empresa ou as diretrizes da marca.‍
• Alucinações convincentes: Asserções plausíveis, porém incorretas, que direcionam decisões reais.
  

Se você quiser saber mais, o OWASP AI Top 10 é um mapa sólido. Na prática, vimos que essas quatro áreas são onde a maioria dos programas começa. 

O que os participantes nos disseram ao vivo

Realizamos enquetes rápidas durante a sessão. A maior preocupação, por uma ampla margem: vazamento/exfiltração de dados, seguida por prompt injection e falta de observabilidade no comportamento de modelos e agentes. Isso se alinha com o que vemos em implantações enterprise: se você proteger as entradas e saídas primeiro e depois tornar cada interação rastreável, terá coberto quase tudo o que é necessário para a segurança de IA.

Os cinco pilares da adoção segura de IA

Aqui está a lista de checagem simplificada que vimos funcionar em diversos setores:

• Autenticação & Controle de Acesso: Não colapse tudo atrás de uma única chave de modelo compartilhada. Preserve a identidade do usuário/serviço de ponta a ponta. Rotacione chaves. Evite tokens compartilhados.
  
• Guardrails de entrada (input): Identifique prompt injection, adulteração de contexto e fontes não confiáveis antes que cheguem ao modelo.
  
• Guardrails de saída (output): Bloqueie vazamentos de PII, saída de dados sensíveis e textos tóxicos ou fora do tom da marca. Imponha a regra de "responder apenas se embasado em fontes aprovadas" para fluxos de trabalho regulados.
  
• Observabilidade total: Rastreie cada requisição: identidade do usuário, chamadas de ferramentas, escolha do modelo, parâmetros, custo e decisões dos guardrails. Chega de uso paralelo não autorizado (shadow AI).
  
• Controle de custos & interrompedores de loop: Agentes podem entrar em loop infinito. Imponha orçamentos por usuário e por aplicação, detecção de loops e disjuntores rígidos. Reduza o raio de impacto de "um prompt ruim".
• Verificações da cadeia de suprimentos: Use apenas modelos e conectores em que você confia. O código aberto não é automaticamente seguro — verifique o que está puxando antes de rodar em produção.

Por que o MCP aumenta os riscos

Agora, os LLMs não apenas falam — eles podem agir. Com o Model Context Protocol (MCP), os agentes descobrem ferramentas e realizam ações no GitHub, Jira, Slack, APIs de nuvem, sistemas internos e muito mais. Isso faz do MCP um enorme acelerador para a produtividade dos desenvolvedores e, ao mesmo tempo, uma nova classe de risco. Um agente com escopo mal definido pode fechar 500 chamados da noite para o dia, exfiltrar dados ou excluir uma branch porque uma instrução disfarçada passou despercebida durante uma etapa de recuperação de dados.

Agora você pode ver como a mudança vai de "resposta errada" para "ações não autorizadas". As ferramentas multiplicam tanto o valor quanto o risco, portanto, mudanças devem ser feitas para se adequar a isso.

Métricas-chave para Avaliação de Gateway

Critério	O que você deve avaliar?	Prioridade	TrueFoundry
Latência	Adiciona overhead <10ms p95 para time-to-first-token?	Indispensável	✅ Suportado
Residência de Dados	Mantém os logs dentro da sua região (UE/EUA)?	Depende do caso de uso	✅ Suportado
Roteamento Baseado em Latência	Roteia automaticamente com base em latência/falhas em tempo real?	Indispensável	✅ Suportado
Rotação & Revogação de Chaves	Rotaciona ou revoga chaves sem tempo de inatividade?	Indispensável	✅ Suportado
Rotação & Revogação de Chaves	Rotaciona ou revoga chaves sem tempo de inatividade?	Indispensável	✅ Suportado
Rotação & Revogação de Chaves	Rotaciona ou revoga chaves sem tempo de inatividade?	Indispensável	✅ Suportado
Rotação & Revogação de Chaves	Rotaciona ou revoga chaves sem tempo de inatividade?	Indispensável	✅ Suportado
Rotação & Revogação de Chaves	Rotaciona ou revoga chaves sem tempo de inatividade?	Indispensável	✅ Suportado

Checklist de Avaliação de MCP Gateway

Um guia prático usado por equipes de plataforma & infraestrutura

Quais pontos devem ser observados em um AI Gateway

Quando o MCP entra em cena, eleve o seu patamar nestas áreas:

• Autenticação & Autorização para servidores MCP (quem é você, o que pode fazer).
  
• Controle de acesso granular (no nível de ferramenta e operação).
  
• Guardrails (políticas de input/output e de uso de ferramentas).
  
• Observabilidade (rastrear, atribuir, auditar).
  
• Limitador de taxa & cotas (interrompedores de loop por usuário/aplicação).
  
• Segurança da cadeia de suprimentos (servidores analisados, artefatos assinados, versões fixadas).

Vamos nos aprofundar em alguns fatores menos comentados

• Guardrails no caminho do tráfego:
  O gateway fica entre os agentes e as ferramentas/modelos, aplicando guardrails tanto na entrada quanto na saída. Você pode definir o escopo das políticas por usuário, por aplicação, por modelo, por equipe ou via metadados. Verificações típicas:
  • Entrada (Input): prompt injection, escalada de privilégio de função em conversas longas, URLs/código maliciosos no contexto recuperado.
    
  • Saída (Output): mascaramento DLP (CPFs/cartões/tokens), políticas de toxicidade e tópicos, verificações de embasamento para respostas reguladas.
  ‍
• Observabilidade: rastrear, atribuir, auditar:
  Sem atribuição e logs de decisão, você não pode investigar nem comprovar o cumprimento das regras. O AI gateway emite traces de ponta a ponta (identidade, metadados do prompt, parâmetros do modelo, cada chamada de ferramenta com parâmetros/resultados, regras de guardrails acionadas/decisões e custos). Use os painéis para responder:
  
  • Qual agente está sobrecarregando o code_executor — carga de trabalho válida ou prompt malicioso?
  • Por que a latência do ask_bot saltou para 20s — lentidão na API ou loop recursivo?
  • Por que uma única ferramenta está consumindo 80% das chamadas — é crítica para os negócios ou apenas superprivilegiada?
    
    
• Limitação de taxa & orçamentos: interrompedores de loop por design:
  Agentes podem entrar em loop descontrolado. Trate orçamentos e QPS como controles de segurança:
  
  • Cotas por usuário/aplicação/ferramenta e limites por minuto para conter o raio de impacto.
  • Detecção de loop para acionar um disjuntor em padrões repetitivos.
  • Limites mais rígidos para serviços sensíveis (pagamentos, dados de clientes).
    ‍
• Integridade da cadeia de suprimentos para MCP e modelos:
  Se você não auditar os servidores, um "Slack MCP" pode ser um pacote malicioso enviando logs de chat silenciosamente para fora, razão pela qual as organizações confiam cada vez mais em ferramentas de segurança de código para IA junto com controles de governança. Atualizações automáticas podem puxar versões adulteradas. A resposta de governança é um repositório verificado/curado, versões fixadas e artefatos assinados — além de varredura de modelos e testes de red-team antes da produção.  
  

Como a TrueFoundry e a Palo Alto ajudam a proteger sua infraestrutura de GenAI

Os agentes são mais úteis quando podem chamar ferramentas para realizar trabalhos reais. O MCP padroniza como os agentes descobrem e invocam essas ferramentas. Mas o poder exige controle. Nosso padrão recomendado é um design de duas camadas:

• AI Gateway (camada de controle): O local central para roteamento, controle de acesso, limitação de taxa, gerenciamento de chaves, observabilidade e guardrails. Esta é a camada de proxy única por onde todo o tráfego de agentes/modelos/ferramentas flui. É aqui também que você centraliza os modos de autenticação do servidor MCP — Sem Autenticação (demo), Header/Bearer e OAuth (Slack/GitHub/Atlassian), para que cada equipe não precise resolver a autenticação repetidamente.
  
• Segurança (camada de validação): Inspeção em tempo de execução, gerenciamento de postura de IA, varredura de modelos e red-teaming, oferecidos via Palo Alto Networks Prisma AIRS, integrados em linha com o gateway.

Mas por que separar controle e validação?

Colocar o controle em um só lugar oferece às equipes de plataforma uma excelente experiência de desenvolvimento (um único endpoint, SDKs unificados, onboarding autoatendido). Colocar a validação em sua própria camada oferece às equipes de segurança integrações profundas e evidências (vereditos de guardrails, mascaramento DLP, inspeção de URL/código e verificações de postura) sem desacelerar o ritmo dos desenvolvedores.

Autorização em três camadas

Nosso CTO Abhishek apresenta um modelo simples para autorização de MCP dentro do AI Gateway da TrueFoundry:

1. Quem é você? O gateway verifica a identidade do humano ou serviço (por exemplo, via token do seu IdP) na entrada.
   
2. O que você pode fazer? O gateway aplica a política ao servidor MCP específico e à ferramenta/operação ("ler PRs"/"comentar PRs", mas "não deletar branch").
   
3. Como provamos isso no sistema de destino? O gateway faz a tradução de tokens para exatamente o que o servidor de destino espera (troca para Slack/GitHub OAuth, ou um token de cabeçalho de curta duração).
   

Esse padrão de "autenticação/autorização em 3 camadas" remove credenciais pontuais isoladas, mantém a atribuição e impede que bots superprivilegiados causem danos irreversíveis.   
Exemplo: Um agente de revisão de PR pode listar PRs e deixar comentários, mas a política do AI Gateway nega a execução de branches.delete mesmo se um prompt tentar "também exclua a main após resumir". A negação — e a identidade por trás da tentativa — são registradas em log. 

Servidores MCP virtuais

Também abordamos o que são servidores MCP virtuais. Em resumo, não entregue aos agentes todo o catálogo do Jira/GitHub/Confluence. Componha um MCP Virtual que exponha apenas o que o fluxo de trabalho precisa — por exemplo: Jira.create_issue, GitHub.create_pr e Confluence.search_docs como um único endpoint de MCP para Engenharia. Você obtém prompts mais limpos, aprovações mais rápidas e um raio de impacto menor por design. 

O que o MCP gateway oferece a você

Os melhores gateways de MCP agem como um painel de controle consciente das políticas entre agentes e ferramentas:

• Um único local para descoberta e controle de acesso: Registre servidores MCP uma só vez. Imponha quem pode ver quais ferramentas.
  
• Permissões em nível de ferramenta e repositórios curados: Apresente apenas a superfície de ferramentas permitida por aplicação ou por equipe.
  
• Seleção inteligente de ferramentas: Não passe mil ferramentas para dentro do contexto de um único prompt.
  
• Limites globais de taxa e cotas: Contenha loops e custos descontrolados.
  
• Rastreamento unificado entre ferramentas e modelos: Atribua cada ação a uma identidade humana ou de serviço, com evidências de qual política foi acionada e onde.
  

Se você comparar "sem mcp gateway" vs. "com mcp gateway", a diferença é gritante: menos conexões personalizadas, fluxos de autenticação centralizados, gerenciamento centralizado de credenciais, trilhas de auditoria de nível enterprise e um catálogo de servidores validados em vez de uma dispersão de scripts não gerenciados.

Como o Palo Alto Prisma AIRS reforça os guardrails dentro da camada do gateway

• Segurança em tempo de execução: Inspecione prompts e outputs para prompt injection, URLs ou códigos maliciosos, conteúdo tóxico, ameaças específicas de agentes e muito mais. Imponha políticas de DLP e mascaramento em tempo real.
  
• Gerenciamento de Postura de Segurança de IA (AI-SPM): Identifique falhas de configuração precocemente e aplique as melhores práticas para serviços de modelos e agentes.
  
• Red teaming: Faça testes de invasão em fluxos de trabalho nativos de IA e meça a eficácia das políticas.
  
• Varredura de modelos: Detecte vulnerabilidades dentro dos próprios arquivos de modelo (desserialização, backdoors, malware).
  
• Segurança de agentes: Monitore o uso indevido de ferramentas e envenenamento de comunicação entre agentes.
  

Você pode ajustar perfis de segurança por aplicação para equilibrar latência e proteção, e todas as decisões são registradas em log para fins de auditoria.

Uma visão rápida da demonstração

Demonstramos um agente que lista pull requests abertos para um colega de equipe e o notifica no Slack. O rastreamento (trace) mostra cada etapa — chamadas de ferramentas, raciocínio do modelo, tempo — e as decisões dos guardrails ao longo do caminho. O painel destaca quais ferramentas consomem mais chamadas, picos de latência e qualquer comportamento semelhante a loops. Essa é a diferença entre esperar que um agente seja seguro e ter certeza de que ele é.  Você pode assistir no link do YouTube que anexamos mais adiante no blog.

Perguntas que respondemos ao vivo

"Por que não usar apenas um API gateway normal?"
Porque as cargas de trabalho de IA adicionam novos requisitos: tradução de tokens por ferramenta, RBAC no nível de ferramenta, guardrails de entrada/saída, auditoria/rastreabilidade ricas e roteamento inteligente de ferramentas. Um gateway clássico não sabe nada sobre prompts, traces ou semântica de modelos/ferramentas.

"Podemos monitorar ferramentas existentes como o ChatGPT ou IDEs em nuvem?"
Se a ferramenta permitir definir um proxy ou endpoint de modelo personalizado, roteie-a pelo gateway e aplique os guardrails/observabilidade ali. Se ela não expuser esse controle, você não poderá adicionar uma inspeção transparente no meio do caminho.

"Como evitamos o ajuste fino (fine-tuning) prejudicial?"
Monitore seus dados: exclua PII e segredos. Valide a procedência de qualquer modelo base que você ingerir. Faça varredura nos arquivos do modelo em busca de comportamentos ocultos antes de treinar.

"Os desenvolvedores recebem SDKs?"
Clientes MCP padrão funcionam sem necessidade de adaptações. O Prisma AIRS expõe um servidor e SDK, e o gateway fornece trechos de código prontos para Python/TypeScript e frameworks de agentes populares. 

Assista à sessão completa

Se você perdeu — ou quer que suas equipes de plataforma e segurança acompanhem — aqui está a gravação:
YouTube: https://youtu.be/hWNV2v3C8SA

Experimente e fale conosco

Estamos oferecendo um teste de um mês do MCP Gateway — disponível como SaaS ou self-hosted. Se você deseja uma revisão de arquitetura de 30 minutos para calibrar custos, latência e perfis de guardrails, teremos prazer em ajudar. Você receberá:

• Configuração e onboarding gratuitos
  
• Um canal privado no Slack/Teams para suporte
  
• Acesso a painéis de observabilidade e perfis de guardrails adaptados às suas aplicações
  

Um enorme agradecimento à equipe da Palo Alto Networks por se juntar a nós e por impulsionar o avanço da segurança de IA.

Perguntas Frequentes (FAQs)

O que é segurança de IA enterprise?

A segurança de IA enterprise é o framework de múltiplos níveis composto por protocolos, ferramentas e políticas projetadas para proteger modelos de IA e dados corporativos contra ameaças especializadas, como prompt injection e exfiltração de dados. Ela envolve a implementação de controles de acesso rígidos e monitoramento em tempo real para garantir que as interações com os modelos permaneçam seguras e em conformidade. A TrueFoundry centraliza esses requisitos em um único plano de controle, permitindo que as organizações gerenciem a segurança em diversos modelos e sistemas internos sem aumentar a complexidade arquitetônica.

Por que a segurança de IA é importante para as empresas?

Manter a segurança de IA enterprise é fundamental para evitar a exposição acidental de PII sensíveis e propriedade intelectual a provedores externos de modelos. Sem uma camada de segurança dedicada, as organizações correm o risco de não conformidade regulatória e vulnerabilidade a ataques adversariais que podem comprometer agentes autônomos. A TrueFoundry atende a essas preocupações implantando toda a stack de IA dentro da sua VPC privada, garantindo a residência dos dados e que cada invocação de ferramenta seja totalmente auditável e governada.

Como os guardrails em tempo de execução do MCP gateway ajudam na segurança de IA enterprise?

Dentro de uma estratégia holística de segurança de IA enterprise, os guardrails em tempo de execução do MCP gateway atuam como uma camada de defesa proativa que inspeciona cada interação em tempo real. Esses guardrails ocultam automaticamente informações confidenciais e bloqueiam entradas maliciosas antes que atinjam o modelo ou os sistemas internos de backend. O gateway da TrueFoundry usa esses guardrails para aplicar permissões granulares no uso de ferramentas, fornecendo uma camada de proteção dinâmica que garante que os agentes operem dentro de limites seguros e predefinidos.