Não há resposta de sim ou não para conectar o Claude aos dados da empresa por MCP: depende de quem construiu o servidor e de como a conexão foi configurada, e as duas coisas dá para conferir antes de liberar o acesso para a equipe. A especificação do Model Context Protocol (MCP) reconhece que o protocolo não consegue impor sozinho os princípios de segurança, que ficam com quem implementa o servidor, e a Anthropic avisa, na central de ajuda do Claude (lida em 07/10/2026), que conectores personalizados ligam o assistente a serviços arbitrários, que ela não verificou.
Por que a segurança de uma conexão por MCP não é um sim ou não?
A resposta curta não existe porque o protocolo não decide isso. A especificação do MCP, na versão 2026-07-28, diz que o próprio protocolo não consegue impor os princípios de segurança e que cabe a quem implementa construir fluxos de consentimento e autorização, controles de acesso e proteção de dados. A mesma especificação diz que a autorização é opcional para as implementações de MCP.
Há um segundo motivo. A Anthropic afirma, na central de ajuda do Claude, que conectores personalizados ligam o assistente a serviços arbitrários, que não foram verificados por ela, e orienta conectar apenas a servidores MCP remotos em que se confia. O padrão define como as duas pontas conversam; ele não responde por quem faz o quê em cada ponta.
Sobra uma pergunta mais útil: o que foi conferido neste servidor e nesta conexão? Quem construiu e mantém o servidor, em nome de quem o assistente consulta, quais ferramentas ele expõe e onde as chamadas ficam registradas são respostas que existem caso a caso e mudam de um servidor para outro.
Quais riscos a especificação do MCP e os fabricantes de IA nomeiam?
A especificação do MCP e os fabricantes de assistentes nomeiam riscos diferentes, e vale ler cada um na fonte que o descreve. A tabela reúne os sete que aparecem nas páginas abaixo.
| Risco, em palavras simples | O que a fonte diz | O que pede de quem conecta |
|---|---|---|
| Servidor em que não se pode confiar | A Anthropic avisa, na central de ajuda (lida em 07/10/2026), que conectores personalizados ligam o Claude a serviços arbitrários, que ela não verificou. A OpenAI diz, na documentação da API (lida em 07/10/2026), que um servidor em que não se confia pode acessar ou roubar informações compartilhadas pelo uso do aplicativo, ou induzir o ChatGPT a usar ferramentas de forma não intencional, inclusive alterando ou apagando dados | Conectar só a servidores em que se confia. A OpenAI recomenda preferir servidores oficiais hospedados pelo próprio provedor do serviço — o exemplo dela é o servidor da Stripe hospedado pela Stripe, e não um servidor não oficial mantido por terceiros |
| Instruções escondidas, a chamada injeção de prompt | A Anthropic alerta, na central de ajuda (lida em 07/10/2026), que servidores MCP maliciosos podem incluir instruções ocultas que tentam fazer o Claude executar ações não intencionais, e que o Claude tem proteções integradas que tentam bloquear esses ataques | Prestar atenção às entradas e às saídas das ferramentas e conectar só a servidores confiáveis, como orienta a Anthropic |
| Ferramenta que age, e não só lê | A especificação do MCP diz que ferramentas representam execução arbitrária de código e devem ser tratadas com cautela, que a descrição do comportamento de uma ferramenta é não confiável, salvo se vier de um servidor confiável, e que o host — a aplicação de IA, como o Claude ou o ChatGPT — deve obter consentimento explícito antes de chamar qualquer ferramenta. Diz também que deveria sempre haver um humano no circuito com poder de negar as chamadas, e que os clientes deveriam mostrar as entradas da ferramenta ao usuário antes de chamar o servidor. A OpenAI informa, na documentação lida em 07/10/2026, que o ChatGPT exige confirmação manual antes de ações de escrita, mas avisa que elas podem ocorrer mesmo quando o servidor as marcou como somente leitura | Saber quais ferramentas o servidor expõe, se alguma altera dados, e manter a confirmação humana. A OpenAI diz que isso torna ainda mais importante confiar no servidor |
| Credencial compartilhada | A central de ajuda da Anthropic (lida em 07/10/2026) diz que o Claude herda as permissões de cada pessoa no serviço conectado: quem não acessa um arquivo, canal ou registro no sistema de origem também não o acessa pelo conector, e um conector personalizado com credencial compartilhada acessa o que essa credencial acessa. A mesma central explica que, nos planos Team e Enterprise, todos que usam um conector com chave de API acessam o serviço com a mesma credencial | Usar uma credencial limitada ao que os membros devem acessar, como orienta a Anthropic, e saber que a permissão pode ser revogada desconectando o conector |
| Servidor rodando no computador de alguém | A página de segurança de servidores locais do MCP diz que, ao rodar um servidor localmente, a pessoa baixa código da internet e o executa como processo filho da própria conta de usuário; esse processo herda as variáveis de ambiente (configurações da máquina que podem guardar chaves de acesso) e pode ler tudo o que a conta lê. A mesma página diz que nada disso é governado pelo protocolo, e sim pela forma como o processo é executado | Tratar o servidor local como um programa baixado, que roda com os acessos da conta de quem o executa |
| Servidor sem manutenção | O README do repositório de servidores arquivados do projeto MCP avisa que não há garantias de segurança, que aqueles servidores não são mais mantidos e que não haverá atualizações de segurança nem correções | Conferir se o servidor tem quem o mantenha |
| Servidor intermediário que fala com serviços de terceiros | A página de boas práticas de segurança do MCP descreve o “deputado confuso” (confused deputy): um servidor intermediário (proxy) que se conecta a APIs de terceiros pode ser explorado para que um cliente malicioso obtenha códigos de autorização sem o consentimento do usuário. A mesma página descreve o “repasse de token” (token passthrough), em que o servidor aceita as chaves de acesso do cliente sem validar que foram emitidas para ele e as repassa à API de destino — prática que a especificação de autorização proíbe explicitamente | Quem constrói o servidor segue essas boas práticas; quem compra pergunta ao fornecedor se ele as segue |
Cada linha vale para a fonte que a escreve. O que a Anthropic diz do Claude não descreve o ChatGPT, e o que a OpenAI diz do ChatGPT não descreve o Claude.
Quem controla o que o assistente vê e faz depois de conectado?
O que o assistente vê depende de quem está do outro lado. Segundo a central de ajuda da Anthropic, o Claude herda as permissões de cada pessoa no serviço conectado, por meio do conector, o nome que o Claude dá à ligação com um serviço. Para decidir o que cada agente enxerga, e não só cada pessoa, veja como dar acesso aos dados com permissão por agente.
O que o assistente faz tem outra camada: a especificação do MCP pede consentimento explícito antes de chamar qualquer ferramenta, e o ChatGPT exige confirmação manual antes de ações de escrita, segundo a documentação da OpenAI lida em 07/10/2026. Para dados pessoais ou confidenciais, veja como garantir acesso controlado e seguro a dados sensíveis.
O que conferir antes de liberar o MCP para a equipe?
Sete perguntas para levar ao fornecedor do servidor ou ao time de TI. Cada uma sai de uma fonte e tem resposta conferível.
- Quem construiu e quem mantém o servidor, e é o servidor do próprio fornecedor do serviço? A OpenAI recomenda preferir servidores oficiais hospedados pelo próprio provedor. O README do repositório de servidores arquivados do projeto MCP avisa que servidores sem manutenção não recebem atualizações de segurança nem correções.
- Em nome de quem o assistente consulta: de cada pessoa ou de uma credencial compartilhada? A central de ajuda da Anthropic diz que o Claude herda as permissões de cada pessoa no serviço conectado e que a credencial compartilhada acessa o que ela acessa.
- A credencial está limitada ao que os membros devem acessar, e dá para revogar? A Anthropic orienta limitar a credencial ao que os membros devem acessar nos planos Team e Enterprise e diz que a permissão pode ser revogada desconectando o conector.
- Quais ferramentas o servidor expõe, alguma altera ou apaga dados, e existe confirmação humana antes? A especificação do MCP pede consentimento explícito antes de chamar uma ferramenta, recomenda um humano com poder de negar as chamadas, e a OpenAI avisa que uma escrita pode ocorrer mesmo em ação marcada como somente leitura.
- Onde o servidor roda: no computador de alguém ou em um serviço mantido? A documentação do MCP diz que o servidor local roda como processo filho da conta de quem o executa, herda as variáveis de ambiente e pode ler o que a conta lê.
- Quem construiu a autorização — o fluxo em que o sistema confere o que cada um pode acessar — e o controle de acesso? A especificação do MCP diz que o protocolo não impõe isso sozinho e que a autorização é opcional para as implementações de MCP.
- Onde as chamadas ficam registradas, por quanto tempo e quem consegue ver? A página de produto da Pipedrive diz que o assistente só acessa e altera dados que o usuário já pode ver e editar e que todas as ações ficam registradas no histórico de alterações, ou seja, o registro das ações, e não o das perguntas. A especificação do MCP diz que os clientes deveriam mostrar as entradas da ferramenta ao usuário antes de chamar o servidor, o que mostra o que será enviado, mas não é um registro.
Com as respostas em mãos, o passo a passo de ligar o assistente está em como conectar o Claude aos dados da empresa.
Onde a Nekt entra
A Nekt é uma plataforma de contexto para agentes de IA: conecta as fontes de dados da empresa, governa esses dados com o significado de cada número e os serve a agentes e a pessoas por servidor MCP, API e SQL. A página SOC 2 diz que a Nekt é compatível com SOC 2 Tipo II e que possui um relatório Tipo II. SOC 2 é um relatório de controles auditados.
Segundo a documentação de permissões, lida em 07/10/2026, toda requisição feita com um token, a chave de acesso do agente, fica registrada, inclusive o SQL (a linguagem de consulta a bancos de dados) de cada consulta: o registro dura 7 dias no Starter, 30 no Growth e 90 no Custom, e não existe no Free. A documentação das ferramentas descreve dois cuidados de escrita: ao criar uma camada de dados, o espaço em que ficam as tabelas e em que se controla o acesso, a primeira chamada do agente devolve só uma prévia e nada é criado, e só uma segunda chamada, com confirmação, cria; e, ao conectar uma fonte, é gerado um link de 24 horas para a pessoa concluir o login ou digitar os segredos no navegador, e, segundo ela, os segredos nunca passam pelo chat. Para conhecer a plataforma, dá para criar uma conta gratuita.
Perguntas frequentes
Quais os riscos de segurança de um servidor MCP?
A especificação do MCP e os fabricantes de IA nomeiam, entre outros, estes riscos: o protocolo não impõe sozinho a segurança, que fica com quem implementa o servidor; as ferramentas representam execução de código e pedem consentimento explícito antes de serem chamadas; um servidor malicioso pode incluir instruções ocultas que tentam fazer o assistente executar ações não intencionais; e uma credencial compartilhada dá a todos que a usam o acesso dessa credencial. A Anthropic e a OpenAI orientam conectar apenas servidores em que se confia.
Como auditar o que os funcionários perguntam para a IA sobre os dados da empresa?
Para auditar, o primeiro passo é saber onde cada chamada fica registrada, e isso depende do sistema e do servidor. A página de produto da Pipedrive diz que o assistente só acessa e altera dados que o usuário já pode ver e editar e que todas as ações ficam registradas no histórico de alterações do sistema, ou seja, o registro das ações, e não o das perguntas. A especificação do MCP diz que os clientes deveriam mostrar ao usuário as entradas da ferramenta antes de chamar o servidor, o que mostra o que será enviado, mas não é um registro. Por isso vale perguntar ao fornecedor do servidor se cada chamada fica registrada, onde, por quanto tempo e quem consegue ver.
O assistente pede confirmação antes de alterar dados?
A especificação do MCP diz que os hosts devem obter consentimento explícito antes de chamar qualquer ferramenta e que deveria haver sempre um humano com poder de negar as chamadas. A OpenAI informa, na documentação lida em 07/10/2026, que o ChatGPT exige confirmação manual antes de ações de escrita e avisa que ações de escrita podem ocorrer mesmo quando o servidor as marcou como somente leitura, o que torna ainda mais importante confiar no servidor.
Rodar um servidor MCP no computador de alguém exige algum cuidado a mais?
Sim. Segundo a documentação do MCP, ao rodar um servidor localmente a pessoa baixa código da internet e o executa como processo filho da própria conta de usuário. Esse processo herda as variáveis de ambiente (configurações da máquina que podem guardar chaves de acesso) e pode ler tudo o que a conta lê. A documentação diz que nada disso é governado pelo protocolo, e sim pela forma como o processo é executado.
Em resumo
- A segurança de uma conexão por MCP depende de quem construiu o servidor e de como a conexão foi configurada; a especificação do MCP diz que o protocolo não impõe sozinho a segurança e que a autorização é opcional.
- A Anthropic e a OpenAI orientam conectar só a servidores MCP em que se confia, e avisam sobre instruções ocultas e sobre servidores não confiáveis.
- Uma credencial compartilhada dá a todos que a usam o acesso dessa credencial, enquanto o Claude, segundo a central de ajuda da Anthropic, herda as permissões de cada pessoa no serviço conectado.
- Ferramentas podem agir, não só ler: a especificação pede consentimento explícito antes de chamar uma ferramenta e recomenda um humano com poder de negar as chamadas.
- Antes de liberar, confira quem mantém o servidor, em nome de quem o assistente consulta, quais ferramentas ele expõe, onde ele roda e onde as chamadas ficam registradas.
Equipe Nekt — conteúdo da Nekt, plataforma de contexto para agentes de IA. Atualizado em outubro de 2026.