MCP no Open Finance: arquitetura, segurança e implementação

setembro 8, 2026

Principais lições deste artigo

O MCP padroniza a comunicação entre agentes de IA e fontes de dados financeiras e reduz a necessidade de integrações ponto a ponto.
No Open Finance brasileiro, o servidor MCP atua como tradutor seguro entre agentes de IA e APIs reguladas pelo Banco Central do Brasil.
Segurança exige conformidade com FAPI-BR, OAuth 2.0, mTLS e LGPD, com tokens e credenciais sempre isolados do agente de IA.
Servidores somente leitura reduzem riscos. Capacidades de escrita exigem controles adicionais e aprovação humana explícita.
A Celcoin oferece infraestrutura completa para construir servidores MCP robustos sobre o Open Finance, com APIs modulares e conformidade regulatória. Conheça a solução.

O que é MCP e por que importa para o Open Finance?

Antes do MCP, cada integração entre um agente de IA e um sistema financeiro exigia desenvolvimento específico. Era necessário criar um conector para cada banco, um adaptador para cada API e uma lógica de autenticação para cada provedor. O MCP elimina essa fragmentação ao padronizar o protocolo de comunicação, funcionando como um “USB-C para dados”: um único padrão conecta qualquer agente a qualquer fonte de dados compatível.

A diferença em relação às APIs tradicionais é estrutural. Uma API define como um sistema específico expõe seus dados. O MCP define como qualquer agente de IA descobre e invoca ferramentas externas. Enquanto APIs exigem integrações ponto a ponto, o MCP permite que um mesmo agente se conecte a múltiplas fontes sem reescrever código de integração a cada vez.

No contexto do Open Finance brasileiro, regulado pelo Banco Central do Brasil e com 5,57 bilhões de chamadas de APIs registradas em abril de 2026, o MCP representa uma oportunidade concreta. Ele permite expor dados financeiros consentidos a agentes de IA de forma padronizada, mantendo a conformidade regulatória. Os benefícios incluem redução de custos de integração, agilidade no lançamento de funcionalidades de IA e acesso a dados em tempo real com consentimento explícito do usuário.

Conheça a infraestrutura da Celcoin para conectar seu Open Finance a agentes de IA.

Arquitetura: como o MCP se conecta ao Open Finance?

O fluxo de uma requisição MCP no Open Finance brasileiro segue cinco camadas bem definidas.

Usuário: faz uma pergunta em linguagem natural ao agente de IA (“Qual foi meu gasto com alimentação no último mês?”).
Agente de IA: interpreta a intenção e identifica qual ferramenta MCP deve ser invocada.
Cliente MCP: envia a solicitação ao servidor MCP no formato padronizado pelo protocolo.
Servidor MCP: traduz a solicitação em chamadas às APIs do Open Finance, utiliza as credenciais e o consentimento adequados e segue os padrões FAPI-BR.
APIs do Open Finance: retornam os dados regulados ao servidor MCP, que os entrega ao agente.

O ponto crítico dessa arquitetura é manter o agente de IA afastado do acesso direto aos dados financeiros. O agente solicita ações ao servidor MCP, que executa as chamadas com as credenciais corretas. Essa separação de responsabilidades é fundamental para a conformidade regulatória. O servidor MCP é o único componente que precisa implementar FAPI-BR, OAuth 2.0 e mTLS. O agente opera em uma camada de abstração acima dessa infraestrutura.

Os papéis ficam claros para o time técnico. O agente de IA é a interface conversacional. O cliente MCP é o conector que fala o protocolo. O servidor MCP é o tradutor e executor que conhece as APIs do Open Finance. As APIs do Open Finance são a fonte de dados regulada pelo Banco Central do Brasil.

Segurança e consentimento: FAPI-BR, OAuth 2.0 e LGPD

O Open Finance brasileiro impõe requisitos técnicos rigorosos que qualquer servidor MCP precisa implementar. A especificação oficial do Open Finance Brasil exige autenticação de cliente via private_key_jwt, uso de mTLS com certificados BRCAC tanto no token_endpoint quanto no backchannel_authentication_endpoint e conformidade com o perfil FAPI-BR em todas as chamadas.

Para o servidor MCP, esses requisitos se traduzem em práticas concretas de implementação.

Armazenar tokens de forma segura com criptografia AES-256-GCM, como faz o Banco MCP, para reduzir o impacto de qualquer vazamento.
Respeitar estritamente os escopos OAuth, usando tokens de leitura apenas para operações de leitura e separando tokens para operações de escrita.
Manter credenciais e tokens fora do alcance do agente de IA, com o servidor MCP como único detentor das credenciais de acesso ao Open Finance.
Validar o manifesto de ferramentas a cada chamada para reduzir o risco de tool poisoning e manter a integridade das ferramentas expostas.
Usar tokens com expiração curta, entre 15 e 60 minutos, com renovação explícita, seguindo as boas práticas de segurança MCP em produção.

A conformidade com a LGPD adiciona requisitos de privacidade ao desenho do servidor MCP. É necessário obter consentimento explícito e granular por escopo de dados, aplicar minimização de dados e registrar trilhas de auditoria completas por chamada de ferramenta. O fluxo de consentimento deve seguir o Guia UX do Banco Central do Brasil, com widget de jornada padronizado.

A Cloud Security Alliance registrou mais de 30 CVEs contra infraestrutura MCP entre janeiro e fevereiro de 2026 e identificou que cerca de metade dos servidores MCP expostos à internet operam sem qualquer controle de autenticação. No contexto do Open Finance brasileiro, que envolve dados regulados pelo Banco Central do Brasil, esse cenário exige controles de segurança rigorosos.

MCP read-only vs. write-enabled: quando usar cada um?

A escolha entre servidores MCP somente leitura e servidores com capacidade de escrita define o nível de risco e o tipo de caso de uso que sua empresa pode atender.

Característica	Servidor somente leitura	Servidor com escrita
Acesso a dados	Saldo, extrato, dados cadastrais, investimentos	Iniciação de pagamentos, transferências Pix
Nível de risco	Baixo, sem movimentação de recursos	Alto, exige controles adicionais
Aprovação humana	Dispensável para consultas	Obrigatória para transações
Casos de uso	Insights financeiros, análise de gastos, consolidação	Pagamentos automáticos, assistentes de compra

Servidores somente leitura reduzem de forma significativa a superfície de ataque porque não expõem endpoints que alteram o estado. Análises de segurança MCP mostram que um endpoint público com escrita tende a virar alvo de spam e uso malicioso. Esse tipo de endpoint exige autenticação robusta, rate limiting e tratamento de abuso.

Para servidores com escrita, a API de Iniciação de Pagamentos do Open Finance Brasil (v5.0.0-rc.1) exige assinatura JWS em todas as requisições e respostas, uso de tokens com escopos openid e payments e aprovações de múltipla alçada nos canais da detentora dentro dos prazos regulatórios. A prática recomendada é começar com servidores somente leitura e adicionar capacidades de escrita apenas quando houver necessidade clara e controles de segurança maduros.

Passo a passo para implementar um servidor MCP

Com o cenário de ferramentas em mente, o passo a passo abaixo orienta a implementação de um servidor MCP integrado ao Open Finance.

Escolher o provedor de Open Finance: usar a infraestrutura da Celcoin simplifica esse ponto, pois as APIs já são modulares e compatíveis com o Banco Central do Brasil, incluindo widget de jornada conforme o Guia UX do Bacen.
Definir os escopos de dados que o agente poderá acessar, como contas, saldo, transações e investimentos. Aplicar o princípio do menor privilégio e, sempre que possível, criar um escopo por ferramenta.
Implementar o servidor MCP com autenticação OAuth 2.0 e FAPI-BR, usando mTLS com certificados BRCAC conforme a especificação oficial do Open Finance Brasil.
Configurar o consentimento do usuário: seguir o Guia UX do Bacen, usar o widget de jornada padronizado e garantir consentimento explícito por escopo.
Testar em sandbox: validar cenários de autenticação, consentimento, expiração de token e tratamento de erros antes de ir para produção.
Monitorar e auditar: implementar logs de auditoria por chamada de ferramenta, alertas para padrões anômalos de uso e rate limiting no próprio servidor MCP.

Algumas práticas adicionais reforçam a segurança do servidor MCP. Validar o manifesto de ferramentas a cada chamada, e não somente no handshake inicial, ajuda a evitar tool poisoning. Usar tokens com expiração curta limita o impacto de um eventual vazamento. Bloquear o acesso aos endpoints de metadados na nuvem reduz o risco de SSRF. Manter uma allowlist restritiva de URLs para qualquer ferramenta que faça requisições de saída segue as recomendações da Cloud Security Alliance e complementa esse conjunto de medidas.

Fale com nossos especialistas e comece a construir seu servidor MCP hoje.

Riscos e melhores práticas

Servidores MCP que acessam dados do Open Finance enfrentam riscos específicos de segurança que precisam de mitigação estruturada.

Injeção de prompt indireta: conteúdo malicioso em dados retornados pela API pode instruir o agente a executar ações não autorizadas. O OWASP classifica a injeção de prompt como a vulnerabilidade número um para aplicações LLM.
Tool poisoning: servidores maliciosos podem declarar ferramentas “somente leitura” que na prática escrevem no banco de dados, explorando a confiança do agente na descrição do manifesto.
SSRF (Server-Side Request Forgery): a BlueRock Security analisou mais de 7.000 servidores MCP e encontrou que 36,7% eram potencialmente vulneráveis a SSRF, com casos de recuperação de chaves de API AWS via endpoint de metadados EC2.
Servidores sem autenticação: uma auditoria de 2026 identificou que 40% dos servidores MCP ainda não exigem autenticação, o que amplia o risco de acesso indevido.
Excesso de privilégios: tokens com escopo amplo comprometidos concedem acesso a todos os recursos autorizados por esse escopo.

As mitigações recomendadas pela Stellar Cyber formam um conjunto integrado de boas práticas. Sanitização de entrada na camada do servidor reduz o risco de injeções. Allowlist de URLs para requisições de saída e bloqueio de endpoints de metadados na nuvem diminuem a superfície para SSRF. Segmentação de rede e filtragem de dados sensíveis nas respostas limitam o impacto de incidentes. Rotação frequente de tokens e logs de auditoria completos por invocação de ferramenta fortalecem a rastreabilidade. Para operações sensíveis, como qualquer escrita no Open Finance, a aprovação humana explícita deve ocorrer antes da execução.

A Celcoin como infraestrutura para MCP Open Finance

A Celcoin é uma plataforma full stack de infraestrutura tecnológica para serviços financeiros. A empresa oferece desde Banking as a Service (BaaS) para empresas não reguladas até Core Banking para instituições com licença própria. Com APIs modulares e conformidade com o Banco Central do Brasil, a Celcoin permite que fintechs, bancos digitais, ERPs e varejistas conectem seus serviços ao Open Finance e construam servidores MCP robustos para agentes de IA sobre essa base.

A solução de Open Finance da Celcoin inclui infraestrutura de consentimento, widget de jornada alinhado ao Guia UX do Bacen, relatórios regulatórios automatizados e APIs bem documentadas com compatibilidade REST. Esses componentes reduzem o tempo para colocar produtos no mercado. A Celcoin atua como participante direta no Pix e como Iniciadora de Pagamentos no Open Finance, com integração direta à Rede do Sistema Financeiro Nacional (RSFN) e ao Sistema de Pagamentos Brasileiro (SPB).

A Celcoin não oferece nenhum tipo de empréstimo para consumidores. A Celcoin fornece a infraestrutura tecnológica para que empresas consigam ofertar produtos de crédito aos seus clientes.

A tabela abaixo resume como as principais funcionalidades da Celcoin se convertem em benefícios práticos para a sua empresa.

Funcionalidade da Celcoin	Benefício para sua empresa
APIs modulares	Integrações mais rápidas, com redução de custos e prazos de desenvolvimento.
Experiência e suporte ao desenvolvedor	Documentação, SDKs e sandboxes que reduzem ciclos de integração e custos de engenharia.
Capacidade de lançamento rápido	Módulos pré-construídos e entrega via SaaS aceleram lançamentos e melhoram o tempo para geração de receita.
Distribuição white-label e embutida (embedded)	Suporte a produtos financeiros com marca própria.
Escalabilidade com confiabilidade	Solução com alta disponibilidade e escalável na nuvem mantém serviços funcionando mesmo com altos volumes.
Cobertura de diversas possibilidades de pagamentos, incluindo crédito	Oferecer pagamentos e emissão de crédito aumenta conversão, receita média por usuário e fidelização.
Acesso a dados e personalização	Dados e análises via Open Finance permitem ofertas personalizadas e melhoram conversão e retenção.
Compliance e conformidade como princípio	KYC, AML e relatórios integrados reduzem risco regulatório e aceleram ciclos de vendas.
Prevenção de fraude e controles de risco	Monitoramento baseado em IA e autenticação robusta reduzem estornos, perdas e exposição regulatória.
Força do ecossistema de parceiros da Celcoin	Parcerias e integrações com bancos, redes e fintechs ampliam cobertura e velocidade de entrada no mercado.

FAQ

O que é MCP em banking?

MCP (Model Context Protocol) é um padrão aberto criado pela Anthropic que permite que agentes de IA se conectem a sistemas bancários e fontes de dados financeiras de forma padronizada. No contexto do Open Finance brasileiro, o MCP atua como uma camada que traduz solicitações em linguagem natural em chamadas às APIs reguladas pelo Banco Central do Brasil. O agente de IA não acessa os dados diretamente. Ele solicita ações ao servidor MCP, que executa as chamadas com as credenciais e o consentimento adequados. A adoção de MCP no setor financeiro brasileiro acompanha a tendência apontada pela Pesquisa Febraban de Tecnologia Bancária 2026, que indica que 92% dos bancos brasileiros veem o Open Finance como oportunidade para acesso a dados financeiros e personalização de ofertas.

Como o MCP se conecta ao Open Finance?

O servidor MCP atua como intermediário entre o agente de IA e as APIs do Open Finance. Quando o usuário faz uma pergunta em linguagem natural, o agente identifica qual ferramenta MCP deve ser invocada e envia a solicitação ao servidor. O servidor MCP executa a chamada à API do Open Finance com as credenciais e o consentimento adequados, seguindo os padrões FAPI-BR e OAuth 2.0 com mTLS e certificados BRCAC. Os dados retornados são entregues ao agente, que os apresenta ao usuário. O consentimento do usuário é gerenciado conforme as regras do Banco Central do Brasil, com validade máxima de 12 meses e revogação disponível a qualquer momento pelo site do banco.

MCP é como um API gateway?

Um API gateway gerencia e roteia chamadas entre clientes e serviços na camada de transporte, inspecionando cabeçalhos HTTP e aplicando limitação de taxa. O MCP é um protocolo que opera na camada de aplicação e padroniza como agentes de IA descobrem e invocam ferramentas externas. Essa diferença tem impacto direto em segurança. Gateways de API tradicionais não analisam o conteúdo das instruções do usuário para distinguir comandos legítimos de tentativas de prompt injection. Uma tarefa de agente que aciona 20 chamadas de ferramenta sequenciais aparece para o gateway como 20 requisições HTTP autenticadas e válidas, mesmo que seja resultado de uma injeção de prompt bem-sucedida.

Quais são os riscos de segurança do MCP?

Os principais riscos envolvem injeção de prompt indireta, tool poisoning, SSRF, servidores sem autenticação e excesso de privilégios em tokens OAuth. Conteúdo malicioso em dados retornados pela API pode instruir o agente a executar ações não autorizadas. Servidores maliciosos podem declarar ferramentas “somente leitura” que escrevem dados. SSRF pode expor credenciais de infraestrutura de nuvem. Uma parcela relevante dos servidores MCP ainda opera sem autenticação. Tokens com escopo amplo comprometidos concedem acesso a muitos recursos. As mitigações incluem uso de OAuth 2.1 com PKCE, RBAC em nível de ferramenta, validação do manifesto de ferramentas a cada chamada, logs de auditoria por invocação, tokens com expiração curta e allowlist restritiva de URLs para requisições de saída.

O Brasil tem Open Finance?

O Brasil já opera um sistema de Open Finance regulado pelo Banco Central do Brasil, que permite o compartilhamento de dados financeiros entre instituições com consentimento explícito do usuário. O sistema é considerado um dos mais avançados do mundo pelo Bank for International Settlements. As 5,57 bilhões de chamadas de APIs mencionadas anteriormente refletem essa escala, assim como os mais de 46 milhões de consentimentos ativos registrados em janeiro de 2026. A maioria dos bancos brasileiros (92%, como citado) enxerga o Open Finance como oportunidade estratégica para acesso a dados e personalização de produtos.

Conclusão

O MCP Open Finance une a expansão do Open Finance regulado pelo Banco Central do Brasil à adoção de agentes de IA como nova interface de serviços financeiros. Os bancos brasileiros planejam investir cerca de R$ 3 bilhões em IA, Analytics e Big Data em 2026, e um relatório do BCG em parceria com a OpenAI projeta que a adoção de agentes de IA pode elevar a rentabilidade dos bancos. Nesse cenário, servidores MCP bem projetados sobre o Open Finance tendem a se tornar um componente central da estratégia digital de instituições financeiras e empresas que distribuem serviços financeiros.

Saiba mais

The best service for growth Infratech financeira para potencializar negócios

Oferecemos uma infraestrutura completa e pioneira para conectar empresas de todos os segmentos a oportunidades do mercado financeiro, com soluções incorporadas às necessidades de seus clientes.

Contratar