Estudo mostra que tráfego do Model Context Protocol (MCP) passa despercebido por IDS mesmo se parecendo com beaconing de C2
Pesquisadores demonstram que o tráfego JSON-RPC de agentes de IA usando o Model Context Protocol tem padrão estrutural e temporal parecido com o beaconing de frameworks de C2 como o Cobalt Strike, mas passa ileso por Suricata e pela pontuação comportamental do RITA em todos os cenários testados. Os autores propõem um padrão de indicação nativa para agentes (ALPN dedicado e headers fora de banda) para fechar essa lacuna de visibilidade.
O Model Context Protocol (MCP) virou o padrão de fato para agentes de IA autônomos se comunicarem com ferramentas remotas via HTTP streamável, gerando tráfego JSON-RPC autenticado, de alta frequência e de origem automatizada dentro de redes corporativas. O problema investigado pelos autores é que a cadência automatizada — historicamente usada como indicador de comprometimento (IoC) para identificar beaconing de C2 — agora também é produzida por ferramentas legítimas, criando ambiguidade estrutural entre tráfego benigno de agente e polling malicioso.
Para testar isso, os pesquisadores montaram um testbed baseado em Docker simulando onze perfis de tráfego matematicamente definidos, sob três condições de visibilidade TLS (opaco, inspecionado e texto claro), e avaliaram detecção com Suricata (assinaturas, ruleset Emerging Threats Open) e RITA (pontuação comportamental de beacon). O resultado foi um score de beacon consistentemente 0,0 e alertas de conteúdo IDS próximos de zero para todos os perfis de tráfego MCP, independentemente de jitter temporal aplicado ou de inspeção TLS. Mesmo quando o TLS opaco expunha o tráfego à análise temporal em nível de fluxo, as heurísticas de IDS — calibradas para malware tradicional — não reconheceram a distribuição log-normal de intervalos entre requisições característica dos loops de raciocínio de agentes de IA generativa.
O achado é relevante em dois sentidos para forense de rede e resposta a incidentes: primeiro, evidencia um ponto cego real em ferramentas de detecção comportamental amplamente usadas (RITA, Suricata/ET Open) diante de um protocolo que está se tornando comum em ambientes corporativos; segundo, levanta a hipótese — ainda que não demonstrada diretamente pelos autores — de que um atacante poderia mimetizar padrões de tráfego MCP para camuflar beaconing de C2 real diante desses mesmos detectores, já que a assinatura temporal que hoje separa tráfego automatizado benigno de tráfego malicioso deixa de ser confiável.
A resposta proposta pelos autores é um padrão de indicação nativa de agente — um ALPN dedicado (Agent-Native ALPN) e headers padronizados fora de banda — que permitiria a firewalls e IDS identificar de forma explícita o tráfego de agentes legítimos sem depender de heurísticas comportamentais frágeis. Até que esse tipo de padrão exista e seja adotado, equipes de SOC e analistas de threat hunting que investigam beaconing suspeito precisam considerar que a ausência de alerta comportamental não é mais garantia de ausência de atividade automatizada suspeita, e que baselines de tráfego MCP legítimo precisam ser mapeadas manualmente por ambiente.