El auge de la IA agente no sólo marca un avance funcional. Introduce un cambio profundo en la forma en que se gestionan, exponen y atacan los sistemas de información. En el centro de esta transformación se encuentra el Model Context Protocol (MCP), un estándar emergente que permite a los agentes de IA conectarse directamente a herramientas, bases de datos y servicios comerciales. Al abrir la IA al mundo operativo, MCP crea una nueva superficie de ataque, todavía en gran medida subestimada.
Presentado como el “USB-C de las aplicaciones de IA”, el MCP, lanzado por antrópico finales de 2024, tiene como objetivo estandarizar las interacciones entre modelos, herramientas y servicios externos. Pone fin al aislamiento histórico de los modelos lingüísticos, hasta ahora limitados al análisis o la recomendación. A partir de ahora, los modelos pueden actuar: consultar bases de datos, desencadenar acciones, modificar configuraciones, alimentar la memoria persistente. Esta capacidad de acción cambia radicalmente la naturaleza del riesgo. Los resultados del modelo ya no son simples respuestas, sino instrucciones ejecutables, con un impacto directo en los sistemas conectados.
Una superficie de ataque estructuralmente de múltiples capas
La arquitectura MCP se basa en una cadena de actores, hosts, clientes y servidores, cuya interdependencia redefine el perímetro de seguridad. Un host de IA organiza múltiples clientes MCP, cada uno de ellos conectado a un servidor que expone herramientas o recursos específicos. Esta aparente segmentación oculta una realidad más compleja: cada capa hereda las vulnerabilidades clásicas de las aplicaciones y las API, al tiempo que introduce riesgos específicos de la IA agente. La frontera entre razonamiento y ejecución desaparece. Un error de diseño, una falla de autorización o una manipulación del contexto ya no se limitan a una degradación de la respuesta del modelo: pueden desencadenar una acción incorrecta, persistente y automatizada. Con el MCP, una falla cambia de escala.
La cadena de suministro, el talón de Aquiles de la IA agente
MCP es parte de un ecosistema profundamente distribuido, que depende de registros públicos, repositorios de código abierto y dependencias de terceros. Esta apertura debilita mecánicamente la cadena de confianza. Algunos servidores o herramientas MCP son maliciosos por diseño, otros se vuelven peligrosos gracias a una actualización comprometida o un esquema alterado.
La carga dinámica de esquemas de herramientas, configuraciones o lógica de ejecución multiplica los puntos de compromiso. El envenenamiento de herramientas, la manipulación silenciosa de esquemas, la errata tipográfica o las dependencias hostiles explotan la confianza implícita otorgada al ecosistema. En un entorno MCP, el compromiso de un solo componente nunca permanece local: puede contaminar el contexto compartido, influir en el razonamiento de los agentes y propagarse a todos los sistemas que dependen de él.
Riesgos estructurantes que desplazan la seguridad
El análisis de los entornos MCP revela riesgos importantes. El problema ya no se limita al código o a la entrada del usuario: todo lo que influye en la decisión del modelo y su acceso a las herramientas se vuelve crítico. Algunos riesgos apuntan directamente al razonamiento de los agentes (inyección de indicaciones, envenenamiento del contexto, manipulación de datos), mientras que otros explotan superficies invisibles para los humanos pero interpretables por la IA, como el envenenamiento de herramientas o la alteración de diagramas. Errores de delegación y abuso de privilegios (escenarios de delegación) diputado confundidotokens con un alcance deficiente, permisos excesivos) transforman a los agentes en transmisores involuntarios de acciones peligrosas. A esto se suman los riesgos sistémicos más tradicionales (cadena de suministro, exposición de secretos, vulnerabilidades de aplicaciones), que adquieren una nueva dimensión en un entorno donde la IA orquesta la ejecución. El envenenamiento entre MCP ilustra este cambio: un agente comprometido puede influir perfectamente y silenciosamente en el comportamiento de todos los demás.
Volviendo a lo básico
MCP no es un protocolo como cualquier otro: transforma la IA en un actor capaz de actuar sobre tu sistema. Asegurar este nuevo ecosistema requiere volver a lo básico, es decir asegurar el código y los servicios expuestos, controlar estrictamente los derechos de los agentes de IA para limitar el abuso y gobernar la cadena de componentes de terceros verificando su legitimidad y supervisando las actualizaciones. Cada punto de entrada y dependencia puede convertirse en un vector de ataque si no se siguen estos fundamentos. A esto se suma el dominio de nuevos desafíos: contexto compartido, ejecución delegada, interacciones constantes entre modelos y sistemas para evitar que la autonomía de la IA se convierta en un vector de riesgo. Pensar en la seguridad desde la etapa de diseño ya no es una opción, es la condición para implementar la IA a gran escala con mayor confianza.
____________________________
Par Frédéric MaloArquitecto de Soluciones jaquemarx
Lea también:
Vibe Coding e IA generativa: hacia una nueva gobernanza de la seguridad del software…
IA y desarrollo de aplicaciones: código seguro para proteger los datos
Mistral AI refuerza su asistente de IA “Le Chat” con memoria y conectores MCP para su asistente de IA
Anthropic lanza el protocolo MCP para conectar modelos de IA a datos
[
