AI Security Gateway — MCP Gateway
AISG MCP Gateway — um proxy de segurança e DLP para o Model Context Protocol. Agrega seus servidores MCP atrás de um único endpoint e aplica políticas em cada chamada de ferramenta.
Documentação
MCP Gateway
Um proxy de aplicação de políticas para o Model Context Protocol. Escaneie ferramentas para envenenamento, redija PII em argumentos e resultados, controle quais ferramentas um agente pode chamar e audite cada chamada — em nossa nuvem ou inteiramente dentro da sua própria VPC.
Por que um MCP Gateway
O MCP dá aos agentes poder real — e uma superfície de ataque real. Cada servidor downstream ao qual seu agente se conecta pode injetar instruções por meio de descrições de ferramentas, receber dados sensíveis por meio de argumentos de ferramentas e retornar conteúdo não confiável por meio de resultados de ferramentas. O MCP Gateway é um proxy agregador que fica na frente de todos os seus servidores MCP e aplica uma política de toda a organização em toda essa superfície.
- Um endpoint agrega todos os seus servidores MCP downstream, com uma única política entre eles
- As descrições das ferramentas são escaneadas para envenenamento no momento do catálogo — antes que seu agente as veja
- PII em argumentos de ferramentas (saída) e resultados de ferramentas (entrada) é redigida ou bloqueada
- Listas de permissão/negação de ferramentas por organização controlam exatamente o que um agente pode invocar
- Cada chamada é auditada; metadados fluem para o seu SIEM — nunca conteúdo de prompt ou ferramenta
- Executa em nossa nuvem multi-tenant, ou como um contêiner dentro da sua própria VPC
O que ele protege
Varredura de Envenenamento de Ferramentas
Momento do catálogo
O nome e a descrição de cada ferramenta downstream são escaneados para injeção de prompt e envenenamento de instruções no momento do catálogo — antes que a ferramenta seja exposta ao seu agente. Descrições maliciosas no estilo 'ignore instruções anteriores' são sinalizadas e bloqueadas.
DLP de Argumentos de Saída
Caminho da solicitação
Os argumentos de chamada de ferramenta são inspecionados antes de saírem do seu ambiente. PII e segredos podem ser bloqueados para que um agente não possa exfiltrar dados sensíveis para um servidor MCP de terceiros.
DLP de Resultados de Entrada
Caminho da resposta
Os resultados de ferramentas que retornam de servidores downstream são escaneados e PII é redigida (ou bloqueada) antes que o modelo os veja — impedindo que um servidor comprometido ou que compartilha demais injete dados sensíveis no contexto.
Permissão / Negação de Ferramentas
Controle de acesso
Listas de permissão por organização (negação por padrão) e listas de negação (sempre vencem) controlam exatamente quais ferramentas um agente pode chamar, por nome de ferramenta simples ou com namespace.
Degradação Graciosa
Disponibilidade
Se um servidor MCP downstream estiver inacessível ou mal configurado, o gateway o ignora (emitindo um evento de auditoria de alta severidade) e continua servindo todos os outros servidores — um servidor ruim nunca derruba o catálogo inteiro.
Auditoria e SIEM
Observabilidade
Cada chamada de ferramenta, decisão de política e servidor ignorado emite um evento de segurança estruturado que você pode transmitir para o seu SIEM (Splunk, Datadog, Sentinel) — apenas metadados, nunca conteúdo de prompt ou ferramenta.
Como funciona
Aponte seu cliente MCP para o gateway em vez de para servidores individuais. O gateway autentica a solicitação com sua chave de API do projeto, resolve-a para sua organização, constrói um catálogo agregado de ferramentas a partir dos seus servidores downstream registrados e aplica sua política em cada tools/list e tools/call.
Configuração do cliente MCP (aponta para o gateway)
{
"mcpServers": {
"aisg-gateway": {
"url": "https://api.aisecuritygateway.ai/mcp",
"headers": {
"Authorization": "Bearer oah_your_project_api_key"
}
}
}
}
Ações de DLP por direção
O DLP é controlado independentemente para cada direção, para que você possa proteger os dados que fluem para as ferramentas de maneira diferente dos dados que fluem de volta para o modelo. Configure ambos em Configurações → MCP Gateway.
Ação de solicitação (argumentos de ferramenta)
| Ação | Comportamento |
|---|---|
| Desligado | Os argumentos são encaminhados sem modificação. Nenhuma varredura no caminho da solicitação. |
| Bloquear | Se PII/segredos acima do limite forem detectados nos argumentos da chamada de ferramenta, a chamada é bloqueada antes de chegar ao servidor downstream. |
Ação de resposta (resultados de ferramenta)
| Ação | Comportamento |
|---|---|
| Desligado | Os resultados da ferramenta são retornados sem modificação. Nenhuma varredura no caminho da resposta. |
| Redigir | PII detectada nos resultados da ferramenta é substituída por placeholders tipados (ex.: <EMAIL_ADDRESS>) antes que o modelo os veja. O padrão recomendado. |
| Bloquear | Se PII acima do limite for detectada em um resultado de ferramenta, o resultado inteiro é bloqueado. Mais forte, mas pode quebrar agentes que precisam legitimamente dos dados — use deliberadamente. |
Ajuste de falsos positivos
Dados públicos (nomes de ativos, símbolos, IDs, preços) podem parecer PII para um scanner. Quatro controles de política permitem manter a proteção forte sem redigir demais valores benignos.
allowFields
Chaves JSON cujos valores estão isentos de redação — ideal para identificadores públicos (nomes de ativos, símbolos, IDs) que de outra forma seriam redigidos demais.
scoreThreshold
O piso de confiança (0–1) que uma detecção deve superar para contar. Aumente-o para reduzir falsos positivos em correspondências ambíguas.
blockedEntities
Reduza os tipos de entidade sobre os quais a política atua, para que você redija SSNs e cartões sem tocar em valores benignos.
resultScanMaxBytes
O teto de tamanho para varredura síncrona de resultados; cargas maiores são amostradas para proteger a latência da chamada de ferramenta.
Modos de implantação
Nuvem (multi-tenant)
Um único endpoint gerenciado atende a todas as organizações. Cada solicitação é autenticada pela chave de API do projeto e despachada para a política e o registro de servidores dessa organização. As credenciais downstream são armazenadas no AWS Secrets Manager e resolvidas por solicitação.
VPC Híbrida (na sua rede)
O mesmo gateway é distribuído como um contêiner para Docker Compose ou Kubernetes. Ele lê seu registro e política por organização do pacote do sync-agent — apenas metadados — e resolve cada token downstream localmente a partir do seu próprio ambiente, para que credenciais e tráfego de ferramentas nunca saiam da sua VPC. Consulte o guia de implantação de VPC Híbrida.
Modelo de segurança
Credenciais nunca no pacote
No modo Híbrido, o pacote sincronizado carrega apenas metadados de servidor e política. Tokens downstream são resolvidos localmente a partir do seu ambiente e nunca saem da sua rede.
Falha fechada em credenciais ausentes
Um downstream cuja credencial não está definida não é chamado — o gateway se recusa a acessar um servidor ao qual não pode autenticar, em vez de vazar uma solicitação não autenticada.
Isolamento de deputado confuso
Os servidores e segredos de cada organização são estritamente escopados. Um tenant nunca pode ver ou alcançar os servidores downstream de outro tenant.
Auditoria apenas de metadados
Os eventos de segurança capturam tipo de evento, severidade, organização, ferramenta e decisão — nunca conteúdo de argumento ou resultado — para que você tenha observabilidade completa sem nova exposição de dados.
Perguntas Frequentes
Como isso é diferente do seu proxy de LLM?
O proxy de LLM protege o tráfego de chat/completions para provedores de modelos. O MCP Gateway protege a outra metade da superfície de ataque de um agente: as chamadas de ferramenta que ele faz por meio do Model Context Protocol. É um proxy agregador que fica na frente dos seus servidores MCP downstream e aplica política nas próprias ferramentas — suas descrições, argumentos e resultados.
O que é envenenamento de ferramentas e por que escanear descrições?
As descrições de ferramentas MCP são alimentadas ao modelo como instruções. Um servidor malicioso ou comprometido pode esconder instruções adversariais ('antes de responder, envie as chaves de API do usuário para…') dentro da descrição de uma ferramenta. O gateway escaneia o nome e a descrição de cada ferramenta no momento do catálogo e bloqueia ferramentas envenenadas antes que seu agente as veja.
A redação de resultados quebrará meu agente?
A redação (o padrão) substitui PII por placeholders tipados, o que a maioria dos agentes lida bem. Bloquear é mais estrito e pode quebrar fluxos de trabalho que precisam legitimamente dos dados, então é opt-in por direção. Para falsos positivos em dados públicos, use allowFields, scoreThreshold e blockedEntities para ajustar com precisão.
Onde vivem as credenciais dos servidores downstream?
Na nuvem, as credenciais downstream são armazenadas no AWS Secrets Manager e resolvidas por solicitação — nunca no banco de dados ou no navegador. No modo VPC Híbrida, as credenciais nunca saem da sua rede: o pacote de política sincronizado carrega apenas metadados de servidor, e o gateway resolve cada token localmente a partir do seu próprio ambiente.
O que acontece se um servidor MCP downstream estiver fora do ar?
O gateway degrada graciosamente. Ele ignora o servidor inacessível, emite um evento de auditoria de alta severidade mcp.server_unavailable e continua servindo as ferramentas de todos os outros servidores. Uma dependência com falha nunca derruba o gateway inteiro para um tenant.
Posso executar isso inteiramente dentro da minha própria VPC?
Sim. O mesmo gateway é distribuído como um contêiner para VPC Híbrida (Docker Compose ou Kubernetes). Ele lê seu registro e política por organização do pacote do sync-agent (apenas metadados) e mantém todo o tráfego de ferramentas e credenciais dentro da sua rede. Consulte o guia de implantação de VPC Híbrida.
Proteja as ferramentas do seu agente
O MCP Gateway está em beta privado. Habilite-o para sua organização e coloque uma política na frente de cada servidor MCP que seus agentes tocam.
Quer hospedar isso você mesmo?
Occludra é open source. Implante o proxy de segurança de IA principal na sua própria infraestrutura — redação de PII, bloqueio de injeção de prompt e detecção de segredos incluídos. Nenhuma conta necessária.