MCP em 2026: como governar agentes ligados à empresa

As tendências do MCP mudam a contratação

A revisão de julho desloca parte do trabalho para mecanismos comuns da web. Pedidos independentes podem chegar a instâncias diferentes do servidor; cabeçalhos identificam a operação; catálogos podem informar por quanto tempo uma resposta pode ser reaproveitada. O anúncio dos mantenedores, de 28 de julho de 2026, apresenta esses recursos. A economia efetiva, porém, depende da aplicação e precisa aparecer na conta do fornecedor.

Três movimentos merecem atenção no contrato:

• Infraestrutura sem sessão obrigatória: peça uma comparação de custo e comportamento em falhas antes e depois da migração, com a mesma carga de trabalho.
• Extensões com maturidades diferentes: registre quais recursos a operação usa e o estágio de cada um, para prever manutenção e mudança de fornecedor.
• Permissões separadas por operação: associe cada ferramenta a uma finalidade de negócio e a um responsável que possa suspender o acesso.

O catálogo oficial de extensões, em outubro de 2026, classifica MCP Apps, para interfaces dentro da conversa, e Enterprise-Managed Authorization, para controle empresarial de acesso, como estáveis. Tasks, que organiza operações demoradas, aparece como beta. Extensão é uma capacidade opcional: estar no catálogo não significa funcionar em qualquer combinação de aplicativo e servidor.

Essa diferença muda a prova exigida. Se uma proposta depende de Tasks, a homologação deve mostrar como o trabalho é retomado ou cancelado. Se depende de uma interface dentro do chat, deve mostrar o comportamento quando o aplicativo não oferece essa interface. Uma tela bonita na apresentação comercial não responde a essas perguntas.

A autorização precisa acompanhar a ação

A especificação de autorização do MCP de julho de 2026 trata dos transportes baseados em HTTP, usados na comunicação pela web. Ela exige, dentro desse fluxo, que o servidor valide o destinatário do token: a credencial precisa ter sido emitida para aquele recurso. Um token funciona como uma chave com permissões, e não deve abrir indiscriminadamente outros sistemas.

O desenho da integração também deve separar o acesso ao servidor MCP do acesso que ele próprio precisa obter em serviços seguintes. As boas práticas oficiais proíbem aceitar uma credencial destinada a outro recurso e simplesmente repassá-la adiante. Esse atalho prejudica a delimitação de confiança e a identificação de quem executou a operação.

Para a gestão, a lista de aprovação pode ser curta e verificável:

• Relacionar as ferramentas habilitadas, os dados acessíveis e as operações de escrita.
• Nomear o responsável pela integração e a identidade usada em cada sistema.
• Exigir bloqueio de uma operação fora do escopo aprovado durante a homologação.
• Registrar quem autorizou, qual ferramenta executou e qual resultado foi produzido, sem gravar credenciais nos registros.
• Revogar o acesso em um teste controlado e observar quando novas operações deixam de funcionar.

Consentimento resolve apenas parte do problema. A especificação do MCP reconhece que o protocolo, sozinho, não impõe todos os princípios de segurança e trata descrições de ferramentas como conteúdo que exige cuidado. Uma instrução maliciosa encontrada em dados pode tentar desviar o agente mesmo depois de um acesso legítimo. Por isso, os limites precisam existir também no sistema que executa a operação.

A conta deve medir trabalho concluído

Medir apenas quantas chamadas o agente fez pode premiar repetição e tentativa malsucedida. Como critério de gestão, vale acompanhar custo por operação aceita: some o modelo de IA, os serviços externos, a infraestrutura e a revisão humana e divida pelo número de entregas que passaram pelo critério combinado. Essa é uma proposta de medição, sem taxa universal de economia.

O mesmo registro deve distinguir erro técnico, recusa por falta de permissão e entrega rejeitada pelo usuário. Eles pedem correções diferentes. Um bloqueio correto protege o processo; uma sequência de tentativas inúteis consome orçamento. A comparação entre fornecedores fica mais útil quando todos recebem a mesma tarefa, os mesmos dados de teste e o mesmo limite de acesso.

• Resultado: entregas aceitas entre operações iniciadas, com período e denominador.
• Custo: gasto total por entrega aceita, incluindo repetição e revisão.
• Controle: tempo entre revogar o acesso e bloquear novas operações.
• Operação: tempo de resposta e falhas por ferramenta, preservando o contexto da execução.

Antes de ampliar o uso, a evidência decisiva é uma execução registrada que conclui o trabalho permitido e recusa o acesso indevido. É essa combinação que permite aprovar o próximo processo com uma justificativa concreta.