O MCP publicou uma especificação estável de “Enterprise-Managed Authorization”; os outros rascunhos de identidade máquina-a-máquina — incluindo um rascunho de OAuth client-credentials e duas propostas abertas — permanecem inacabados. Para quem tenta executar agentes autônomos com o Model Context Protocol, isso significa que o protocolo atual consegue verificar um usuário humano, mas não oferece uma maneira pronta para uso de provar que um processo não supervisionado é quem ele afirma ser.

Por que o roadmap é importante

O roadmap do Model Context Protocol (MCP) lista a identidade e a segurança de agentes entre suas principais prioridades. Quatro itens foram planejados para lançamento: um fluxo de navegador centrado no humano, um fluxo OAuth client-credentials para serviços, um vínculo de token baseado em DPoP e um mecanismo de federação de identidade de carga de trabalho (workload-identity federation). Apenas o primeiro — Enterprise-Managed Authorization — atingiu o status estável.

O que a especificação estável realmente faz

O Enterprise-Managed Authorization permite que administradores de TI concedam acesso ao servidor a partir de um único console, em vez de exigir que cada funcionário aprove cada conexão. O fluxo utiliza um redirecionamento de navegador e um login de usuário, de modo que uma pessoa em um laptop possa se autenticar e, em seguida, o servidor confie na sessão desse usuário.

A limitação é óbvia: o processo precisa de um humano ao teclado. Um agente que roda durante a noite, processa dados ou responde a alertas não tem ninguém para clicar em um botão de login. Consequentemente, qualquer implantação que dependa de agentes não supervisionados não pode usar a única especificação que o MCP garante atualmente.

As opções de rascunho e suas desvantagens

Duas extensões em rascunho visam dar aos agentes sua própria identidade:

  • SEP-1932 (DPoP) – vincula tokens a um par de chaves pública-privada, tornando tokens roubados inúteis.
  • SEP-1933 (Workload Identity Federation) – permite que agentes herdem identidades já provisionadas em plataformas de nuvem.

Ambos existem como pull requests abertos; nenhum foi mesclado à especificação oficial. Enquanto isso, a única outra opção documentada é um fluxo OAuth client-credentials que requer segredos pré-registrados. Armazenar esses segredos onde um agente possa lê-los cria uma superfície de ataque clássica: se o segredo vazar, qualquer invasor poderá se passar pelo agente.

Passos práticos para produção hoje

Como o protocolo ainda não fornece uma identidade de agente nativa, as equipes ainda podem proteger os agentes movendo o gerenciamento de identidade para fora do MCP:

  1. Emita identidades verificáveis na camada de carga de trabalho (workload layer). Sistemas como o SPIRE geram certificados de curta duração vinculados à raiz de confiança do host, eliminando segredos estáticos.
  2. Termine as credenciais em um gateway. Um serviço de front-end mantém a chave de API ou o token e encaminha as solicitações em nome do agente, mantendo o segredo fora do ambiente de execução (runtime).
  3. Autorize com base na identidade verificada, não no conteúdo do token. Separe a autenticação (quem está chamando) da autorização (o que podem fazer) para que a política possa ser aplicada mesmo se o método de autenticação mudar.

O que observar a seguir

Os dois pull requests abertos — vínculo DPoP e federação de identidade de carga de trabalho — são os únicos caminhos para um verdadeiro padrão de identidade máquina-a-máquina dentro do MCP. Se a comunidade os mesclar, os agentes poderão provar a posse de uma chave privada ou herdar identidades emitidas pela nuvem sem expor segredos. Até lá, qualquer implantação em produção deve depender de frameworks de identidade externos ou aceitar o risco de credenciais estáticas.

A conclusão é clara: o MCP pode atualmente autenticar a pessoa por trás de uma solicitação, mas ainda não autentica o software que faz a solicitação. Equipes que precisam de agentes autônomos seguros não devem esperar pela chegada da especificação; elas devem construir a identidade na camada de carga de trabalho hoje e ficar de olho nas propostas pendentes de DPoP e federação.