Hermes Agent + MCP: guia de segurança

MCP não é um passe livre para um agente acessar tudo. O Model Context Protocol é uma forma padronizada de conectar agentes a ferramentas e fontes de dados; a segurança depende de quais ferramentas você expõe, com qual credencial e sob qual aprovação. No Hermes Agent, essa distinção é especialmente importante porque o agente pode combinar terminal, navegador, memória, mensagens e servidores MCP em um mesmo fluxo.

Para quem constrói produtos por vibe coding, a pergunta certa não é “como conecto meu agente ao banco?”. É: “qual a menor capacidade que permite esta tarefa, como eu reviso o resultado e como eu desligo esse acesso?”.

O que MCP resolve — e o que ele não resolve

MCP cria uma interface comum para um agente descobrir e chamar ferramentas. Um servidor pode oferecer busca em documentos, leitura de issues, consulta de catálogo, criação de tickets ou ações em um sistema interno. Isso evita construir uma integração diferente para cada modelo ou cliente de IA.

Mas o protocolo não substitui autorização. Se você conectar uma ferramenta com um token de administrador, o agente terá a capacidade que esse token possui. Se expuser uma operação de apagar registros, uma instrução mal interpretada pode chegar a essa operação. O desenho de permissões continua sendo responsabilidade de quem opera o produto.

Camada	Pergunta que ela responde
MCP	como o agente chama esta ferramenta?
autenticação	quem está usando a ferramenta?
autorização	quais dados e ações essa identidade pode acessar?
aprovação	quando uma pessoa precisa confirmar a ação?
auditoria	como saber o que foi pedido e o que aconteceu?

Protocolo não é permissão

Conectar um MCP ao Hermes não torna a ferramenta segura por definição. Trate cada método exposto como se estivesse adicionando uma rota de API ao seu produto.

Comece por uma integração somente de leitura

O primeiro MCP não deveria criar usuários, publicar conteúdo ou consultar produção inteira. Escolha uma fonte que gere valor sem efeito externo. Exemplos: documentação de produto, base de conhecimento sem dados pessoais, issues públicas do repositório ou catálogo de componentes.

Um fluxo de descoberta pode ser assim:

o agente lê AGENTS.md e entende o objetivo;
consulta um MCP de documentação com busca e leitura;
separa fatos, hipóteses e dúvidas;
entrega uma proposta para a pessoa revisar;
nenhuma mudança é executada automaticamente.

Esse fluxo já resolve uma dor real: diminuir o tempo perdido procurando informação. E ele permite observar se o agente escolhe bem as ferramentas antes de confiar a ele uma ação mais sensível.

Menor privilégio: desenhe ferramentas pequenas

Uma ferramenta ampla costuma parecer mais prática, mas fica difícil de proteger. Em vez de expor executar_sql, prefira ações com escopo de produto, como buscar_artigos_publicados, listar_documentos_por_projeto ou criar_rascunho_de_conteudo.

Evite expor	Prefira expor
acesso irrestrito ao banco	consulta paginada por entidade autorizada
token pessoal do GitHub	instalação ou token de serviço com repositórios limitados
publicação direta no CMS	criação de rascunho com estado `pending_review`
shell completo em produção	comando específico em ambiente isolado
lista completa de clientes	busca com campos mínimos e autorização por tenant

Para um SaaS brasileiro, esse desenho também ajuda na LGPD. O agente não precisa receber CPF, telefone, conversa ou histórico financeiro para sugerir uma melhoria na interface. Dados sintéticos e campos mínimos quase sempre bastam nas primeiras iterações.

contrato-de-ferramenta.txttext

Ferramenta: criar_rascunho_artigo

Entrada permitida:
- titulo
- resumo
- categoria
- tags

Saída:
- id do rascunho
- status: pending_review

Não faz:
- publicação
- envio de newsletter
- alteração de artigos publicados
- acesso a credenciais ou dados de assinantes

O contrato acima é mais seguro e mais fácil de testar do que uma ferramenta genérica de “gerenciar CMS”.

Configuração segura no Hermes: uma camada de cada vez

A documentação do Hermes recomenda revisar o manifesto e a origem de um servidor MCP antes de habilitá-lo. Também permite filtrar as ferramentas que ficam disponíveis. Use isso para montar uma progressão, não uma instalação de tudo que aparecer.

Teste local: conecte um servidor conhecido, com dados fictícios e ferramentas de leitura.
Allowlist: deixe visíveis apenas os métodos necessários para a tarefa.
Credencial limitada: use uma identidade de serviço, escopo por ambiente e rotação definida.
Aprovação: mantenha confirmação para comandos e ações com efeito externo.
Auditoria: registre a solicitação, ferramenta, parâmetros sensíveis mascarados e resultado.
Produção: só libere após casos reais funcionarem em staging e alguém aprovar o risco.

Não precisa configurar todos os controles no primeiro dia. Precisa evitar o salto de “funcionou no meu computador” para “o agente tem uma chave de produção”.

[ CONTEÚDO_INTEGRAL_DISPONÍVEL ]

Continuar: Hermes Agent ou OpenClaw para o seu workflow?

CLIQUE PARA DESBLOQUEAR A LEITURA

Construindo aplicações robustas com arquitetura de alto nível e infraestrutura otimizada na edge do Cloudflare Workers com SurrealDB.

Segurança de dados e conformidade com privacidade desde o primeiro dia de código com tratamento de estados e sessões resilientes.

Métricas de performance para monitorar a experiência do usuário e otimizar custos operacionais em produção com dashboards estruturados.

Continuação liberada

Credenciais, mensagens e dados brasileiros

Há três limites que merecem atenção especial em produtos locais:

credenciais: guarde tokens no gerenciador de segredos, nunca no prompt, na skill ou em um AGENTS.md;
dados pessoais: minimize campos, separe ambiente de teste e defina retenção de logs;
canais de mensagem: trate conteúdo recebido no WhatsApp, Slack ou Telegram como entrada não confiável.

No caso do WhatsApp Cloud API, há ainda regras de janela de atendimento e templates que fazem parte do produto, não apenas da integração. Um agente pode preparar uma resposta ou classificar uma conversa, mas a política de envio deve continuar explícita e testada. A documentação do Hermes informa, por exemplo, que mensagens livres seguem a janela de 24 horas do WhatsApp; isso não deve ser convertido em uma automação que dispara sem guarda-corpo.

Aprovação é parte do produto do agente

O Hermes tem níveis de aprovação e permite negar comandos perigosos por política. Para quem está começando, a escolha sensata é aprovação manual. O modo mais permissivo pode fazer sentido em um CI descartável, com comandos previsíveis e sem segredos de produção; em uma máquina de trabalho, costuma trocar alguns segundos de confirmação por um risco desnecessário.

Também mantenha uma lista explícita do que o agente nunca pode fazer:

apagar dados ou buckets;
alterar permissões de usuários;
fazer pagamentos, reembolsos ou transferências;
publicar ou enviar mensagens externas;
ler arquivos de segredo;
executar migrações em produção;
mudar infraestrutura fora de uma mudança revisada.

Essas negações devem existir em mais de um lugar quando o risco for alto: no agente, na ferramenta, na credencial e no ambiente. Defesa em profundidade impede que um único erro de configuração vire incidente.

Um exemplo: pesquisa de suporte sem expor clientes

Suponha que você queira descobrir as cinco principais dúvidas de onboarding. Em vez de fornecer ao Hermes acesso completo ao atendimento, crie um MCP que retorna apenas temas agregados e exemplos anonimizados. O agente pode então propor melhorias de texto e uma checklist de produto.

O resultado pode ser revisado por alguém do time antes de qualquer alteração no site ou em mensagens. Se a integração falhar, não há vazamento de conversa nem disparo acidental. Esse é o tipo de caso que prova valor e prepara o terreno para automações maiores.

Checklist antes de habilitar um MCP

conheço o autor, código e manifesto do servidor;
as ferramentas foram reduzidas ao necessário;
o token é de serviço, limitado e revogável;
staging e produção usam credenciais diferentes;
dados pessoais não são retornados por padrão;
ações externas exigem aprovação humana;
logs permitem investigar sem registrar segredos;
existe uma pessoa responsável por desligar a integração.

Perguntas frequentes

MCP dá acesso ao banco automaticamente?

Não. Ele apenas padroniza a chamada às ferramentas de um servidor. O acesso real vem da credencial e das permissões que você configurou nesse servidor.

Posso conectar um MCP de terceiros?

Pode, mas trate-o como uma dependência com poder operacional. Leia a origem, revise métodos, teste isolado e não entregue tokens amplos antes de entender o que ele faz.

Qual é o melhor primeiro MCP?

Um de leitura, com dados não sensíveis: documentação, base de conhecimento sanitizada ou issues de desenvolvimento. É suficiente para aprender o comportamento do agente sem criar efeitos externos.

Um agente consegue respeitar LGPD sozinho?

Não. LGPD exige decisões de produto, finalidade, base legal, retenção e controles organizacionais. O agente pode ajudar a operar um fluxo bem definido; não substitui essa responsabilidade.

Próximo passo

Escolha uma única fonte de leitura, crie uma credencial limitada e peça ao Hermes um relatório sem poder de alteração. Quando você tiver evidência de que ele usa bem a fonte, adicione uma ferramenta pequena de escrita em staging — sempre com estado de rascunho e aprovação.

Hermes Agent + MCP: conecte ferramentas sem abrir mão da segurança