Cloudflare Gateway agora consegue detectar e bloquear tráfego MCP

A Cloudflare lançou a detecção do Model Context Protocol em seu produto Gateway em August 14, 2026, dando às equipes de rede corporativas uma forma de ver - e bloquear - o tráfego de chamadas de ferramentas que os agentes de IA geram dentro de sessões criptografadas. Até agora esse tráfego era praticamente invisível: "O Model Context Protocol não usa um hostname garantido nem exige /mcp no caminho, então uma conexão direta pode parecer qualquer outra chamada de API HTTPS", diz o anúncio da Cloudflare.

O controle é um novo seletor booleano do Gateway, experimental.is_mcp == true, utilizável em políticas HTTP para permitir, bloquear ou isolar as requisições correspondentes, segundo o changelog da Cloudflare. Ele chega em beta e pode mudar antes da disponibilidade geral.

Como a detecção funciona

O Gateway identifica requisições MCP inspecionando cabeçalhos específicos do protocolo - MCP-Protocol-Version, além de Mcp-Method e Mcp-Name, segundo a análise da Forkast - no tráfego inspecionado por TLS, de modo que nenhuma lista de domínios permitidos precisa ser mantida. A PPC Land relata que a detecção foi construída a partir de padrões observados em milhões de requisições que cruzam diariamente a rede da Cloudflare.

A própria evolução do protocolo é o que tornou isso possível. A PPC Land rastreia o cabeçalho MCP-Protocol-Version até a versão 2025-06-18 da especificação, que o introduziu, e até as revisões 2025-11-25 e 2026-07-28, que o tornaram obrigatório. A Forkast acrescenta que a mudança da especificação 2026-07-28 para um modelo sem estado, por requisição, é o que tornou o tráfego identificável de forma confiável na rede.

A razão declarada da Cloudflare para tratar o tráfego de agentes como uma categoria própria é comportamental: "Suas decisões são não determinísticas, e eles podem executar a mesma ação (ou invocar a mesma ferramenta) indefinidamente, sem se cansar nem parar para almoçar", diz o anúncio sobre os agentes de IA.

O que ele consegue e não consegue ver

A visibilidade tem limites rígidos, e a PPC Land os expõe claramente: "O tráfego criptografado precisa passar pela descriptografia TLS antes que o Gateway possa ler esses cabeçalhos. Servidores stdio locais, conexões fora da rede, tráfego marcado como Do Not Inspect e qualquer requisição que nunca atravesse o Gateway permanecem inteiramente fora da vista." Um desenvolvedor rodando um servidor MCP local via stdio não está no escopo; um laptop fora da rede corporativa também não.

A PPC Land também observa uma limitação atual no lado da aplicação de políticas: os MCP Portals exigem servidores upstream alcançáveis pela internet pública, com o suporte a DNS privado ainda pendente.

Os dois problemas que ele mira

A PPC Land distingue os dois modos de falha que o lançamento mira: Shadow MCP - servidores que ninguém aprovou, rodando fora da governança de segurança - e o desvio de portal, em que um servidor aprovado é alcançado diretamente em vez de pelo caminho sancionado. Seletores de Traffic Source permitem que uma política diferencie requisições roteadas pelo Portal de conexões diretas, de modo que uma organização pode bloquear o tráfego MCP direto enquanto permite o tipo intermediado pelo Portal, segundo o anúncio da Cloudflare. Um novo painel de segurança de IA reporta o volume de requisições MCP, usuários únicos e servidores MCP únicos, segundo o changelog.

A urgência por trás das posturas de bloqueio por padrão está nos números que a Forkast cita de uma análise de 19,000+ servidores MCP apresentada na DEF CON 34: 82% expostos a path traversal, 34% vulneráveis a injeção de comandos e apenas 8.5% usando OAuth de alguma forma. O enquadramento da Cloudflare para a ordem do rollout: "Comece com visibilidade, depois feche os caminhos que não deveriam existir."

O que isso significa para desenvolvedores

Se você opera servidores MCP aos quais usuários corporativos se conectam, assuma que seu tráfego agora é classificável na borda da rede e que alguns clientes migrarão para políticas de apenas portal - ser alcançável por um portal sancionado, e falar corretamente a especificação atual, está se tornando um requisito de implantação em vez de uma gentileza. Verifique se o seu servidor envia corretamente o cabeçalho MCP-Protocol-Version: o mesmo cabeçalho que faz você ser detectado é o que faz você ser corretamente permitido.

Se você está em uma equipe de segurança ou de plataforma, a sequência prática é a que a Cloudflare descreve: ligue a detecção, observe o painel para aprender quanto tráfego MCP já existe na sua organização e então escreva a política. E conheça os pontos cegos antes de confiar no mapa - servidores stdio e máquinas fora da rede nunca aparecem nele.

Os números da DEF CON são o contexto que faz este lançamento importar: um ecossistema em que um terço dos servidores públicos é vulnerável a injeção de comandos é um em que "quais agentes falam com quais ferramentas" deixa de ser uma questão de observabilidade e se torna uma de controle de acesso. O seletor está em beta e seu nome pode mudar - construa o processo de governança agora, não uma dependência rígida do nome do campo.