MCP y ciberseguridad: cuando la IA pasa de responder a ejecutar

Hace apenas dos años, Model Context Protocol (MCP) era una propuesta técnica desarrollada para resolver un desafío muy concreto en el ecosistema del desarrollo: cómo permitir que un modelo de lenguaje (LLM) interactuara de forma estandarizada con herramientas externas, aplicaciones y fuentes de datos corporativas sin necesidad de programar una integración a medida para cada caso de uso.

Hoy, la situación ha dado un giro radical. MCP se ha consolidado como el estándar de facto para la arquitectura de IA agéntica. Forma parte indispensable del conjunto de tecnologías desplegadas por miles de empresas para automatizar flujos de trabajo complejos. Gracias a este protocolo, un agente de Inteligencia Artificial puede conectarse de forma nativa a un CRM, realizar consultas directas a bases de datos relacionales, revisar repositorios de código fuente, ejecutar scripts en servidores de pruebas o interactuar con APIs de aplicaciones empresariales de negocio.

Y ahí se produce el cambio de paradigma decisivo:

La pregunta crítica en la empresa ya no es qué sabe responder un modelo de lenguaje, sino qué acciones puede ejecutar dentro de la infraestructura corporativa.

Este salto cualitativo desplaza automáticamente a MCP del ámbito exclusivo del desarrollo de software para situarlo en el centro de la estrategia de ciberseguridad.

¿Qué es exactamente Model Context Protocol (MCP) y por qué ha revolucionado la IA empresarial?

Para comprender los riesgos asociados, es imprescindible entender qué aporta MCP en términos de arquitectura. Tradicionalmente, conectar una Inteligencia Artificial con un sistema corporativo implicaba crear conectores rígidos mediante llamadas directas a APIs, scripts a medida o plugins propietarios. Este enfoque generaba silos técnicos difíciles de mantener y escalar.

Model Context Protocol introduce una arquitectura cliente-servidor abierta y estandarizada:

• El Cliente MCP: Es la aplicación o entorno donde reside la interfaz del modelo de IA (por ejemplo, entornos de desarrollo agénticos, plataformas de chat empresarial o asistentes autónomos).
• El Servidor MCP: Es un componente ligero que actúa como pasarela o puente entre el agente de IA y el recurso de destino (un gestor de bases de datos, una API de SaaS, un sistema de archivos o una herramienta interna).
• Las Herramientas (Tools) y Recursos (Resources): Son las capacidades específicas expuestas por el servidor MCP que el agente puede “descubrir” dinámicamente y solicitar ejecutar.

Esta estandarización simplifica enormemente el despliegue técnico. Sin embargo, al facilitar la conexión masiva entre la IA y los activos digitales corporativos, multiplica de forma directa las vías de interacción y el volumen de peticiones sobre la red interna.

Cuando un modelo puede actuar, el modelo de riesgo cambia drásticamente

Durante la primera fase de adopción de la Inteligencia Artificial Generativa, las organizaciones trataron los LLM como asistentes conversacionales cerrados. Si bien existían riesgos evidentes relacionados con la privacidad de los datos o la fuga de información mediante el prompt del usuario, la capacidad de actuación directa del modelo sobre el entorno real era prácticamente nula.

Con la llegada de los agentes basados en MCP, el modelo de lenguaje deja de ser un mero generador de texto y se transforma en un motor de ejecución de código y comandos sobre la infraestructura viva de la empresa.

Cada servidor MCP habilitado expande directamente la superficie de ataque de la compañía al otorgar capacidades operativas sobre:

• Bases de datos corporativas: Ejecución de consultas de lectura, modificación o borrado mediante sentencias SQL.
• Repositorios de código fuente: Lectura de repositorios privados, modificación de código e integración en pipelines de CI/CD.
• Plataformas SaaS y herramientas de negocio: Interacción directa con gestores de clientes, sistemas financieros o software ERP.
• Infraestructuras cloud y servidores: Lanzamiento de comandos en entornos virtuales, contenedores o infraestructura como código.
• Sistemas de archivos internos: Lectura y procesamiento masivo de documentación confidencial almacenada en servidores de red.

En términos de ciberseguridad, el agente de IA pasa a actuar como un usuario interno dotado de credenciales y permisos. Por consiguiente, cualquier software capaz de operar sobre activos críticos requiere obligatoriamente mecanismos de autenticación, control de identidad, autorización granular y auditoría continua.

El problema fundamental no es el protocolo, sino la gestión de privilegios

Es clave hacer un diagnóstico preciso: MCP no es en sí mismo una tecnología insegura ni introduce vulnerabilidades por su diseño básico; lo que introduce es una nueva forma masiva de consumir privilegios corporativos.

El protocolo se limita a formalizar el lenguaje técnico con el que un agente descubre qué funciones tiene a su alcance y transmite la petición para utilizarlas. El verdadero riesgo de seguridad emerge cuando el agente ejecuta esas acciones en un entorno donde no existen controles de acceso estrictos ni mecanismos de gobernanza de identidades.

Si una cuenta de servicio o token asignado a un agente posee más privilegios de los necesarios, cualquier fallo de lógica, desviación en la respuesta del modelo o manipulación externa se traducirá en un incidente de seguridad con un impacto potencialmente devastador.

Los tres grandes vectores de riesgo en arquitecturas MCP

Para articular una defensa eficaz, la dirección de ciberseguridad debe categorizar los riesgos principales asociados al uso de MCP en la organización:

1. Servidores MCP de procedencia no verificada (Riesgo en la Cadena de Suministro)

Desplegar un servidor MCP en la red local o en la nube corporativa equivale a instalar una aplicación de software con acceso a la red interna. En el ecosistema open source han proliferado cientos de servidores MCP creados por la comunidad para conectar herramientas populares. Si la empresa no aplica controles rigurosos sobre la procedencia del código, corre el riesgo de introducir componentes maliciosos o con graves fallos de seguridad que permitan la ejecución remota de código (RCE) o la extracción arbitraria de datos.

2. Inyección de instrucciones a través de datos (Indirect Prompt Injection)

El ataque de Prompt Injection adquiere una dimensión mucho más peligrosa en entornos agénticos. Cuando un servidor MCP lee un documento interno, un correo electrónico o una entrada en una base de datos que contiene texto introducido por un atacante externo, ese texto puede incluir instrucciones maliciosas ocultas. Al procesar el resultado, el agente de IA puede interpretar ese contenido como una orden legítima, llevándolo a modificar registros, alterar configuraciones o enviar información confidencial fuera de la red.

3. Ausencia de segregación y asignación de permisos excesivos

Es el error de configuración más habitual en las pruebas de concepto que pasan a producción. Se asigna al agente un único token de API con privilegios de administración para facilitar la conexión con todos los sistemas. Si ese agente realiza un borrado accidental o si sus credenciales son comprometidas, el atacante obtiene inmediatamente el control total de los activos a los que la clave tenía acceso. La falta de segregación impide saber qué usuario humano solicitó la acción y rompe la cadena de trazabilidad.

La seguridad debe migrar del modelo de IA a la arquitectura de control

A medida que la IA agéntica se integra en procesos críticos, resulta evidente que no se puede confiar la seguridad de la compañía únicamente al alineamiento o al “buen comportamiento” del modelo de lenguaje. La responsabilidad debe recaer sobre la arquitectura de ciberseguridad que envuelve e interrumpe las llamadas del agente.

Para mitigar eficazmente estos riesgos, la infraestructura tecnológica debe incorporar los siguientes controles esenciales:

• Políticas de autorización explícitas: Definición estricta de qué herramientas del servidor MCP pueden ser invocadas y bajo qué condiciones exactas.
• Validación previa y de contexto: Verificación de los parámetros de entrada y salida antes de que el servidor MCP ejecute la orden sobre la base de datos o el sistema de destino.
• Control de acceso basado en la identidad real: Traslado de la identidad del usuario humano que utiliza la IA hacia la llamada del servidor MCP, evitando el uso de credenciales globales compartidas.
• Mínimo privilegio operativo: Limitación de los permisos del conector al catálogo exclusivo de tareas necesarias para la labor del usuario.
• Auditoría y registros inmutables: Almacenamiento detallado de cada petición enviada por el agente, la herramienta invocada, los datos retornados y el usuario que originó el flujo.

Soberanía del dato y gestión de identidades: los dos pilares de la ciberseguridad agéntica

Desde una perspectiva estratégica de ciberseguridad, la irrupción de MCP no requiere inventar principios teóricos completamente nuevos, sino aplicar las disciplinas más consolidadas del sector a un nuevo tipo de “usuario”: el agente de Inteligencia Artificial.

Históricamente, los marcos de seguridad Zero Trust (Confianza Cero) han girado en torno a la verificación continua de usuarios humanos y dispositivos. Hoy, esa misma rigurosidad debe extenderse a los agentes agénticos. Esta aproximación exige fundamentar la protección en dos grandes pilares operacionales:

1. Gobernanza de odentidades y accesos privilegiados (IAM / PAM)

Un agente MCP que opera en nombre de un empleado no debe poseer más acceso del que tiene asignado dicho empleado en su puesto de trabajo. La arquitectura de seguridad debe intercalar capas de control de identidad (IAM) y gestión de accesos privileged (PAM) para asegurar que cada acción ejecutada por la IA autentique la identidad del usuario final, aplique la segregación de funciones y limite temporal y técnicamente las capacidades de ejecución.

2. Protección de datos y Prevención de Fugas (DLP)

El valor fundamental de conectar un servidor MCP reside en dar contexto a la IA alimentándola con datos empresariales. Sin embargo, este flujo continuo de lectura de documentos, bases de datos y registros expone a la organización a riesgos severos de exfiltración o pérdida de privacidad. Resulta imprescindible desplegar capacidades de Data Loss Prevention (DLP) capaces de inspeccionar, clasificar y bloquear el paso de información altamente confidencial, datos de carácter personal (PII) o secretos corporativos antes de que sean procesados por el agente o devueltos al usuario.

Conclusión: La IA agéntica como un nuevo actor en la infraestructura corporativa

Model Context Protocol se ha establecido como el cimiento técnico sobre el que se desplegará la automatización agéntica en las empresas durante los próximos años. El salto cualitativo de una IA que “informa” a una IA que “actúa” abre oportunidades extraordinarias de productividad, pero redefine por completo la superficie de riesgo corporativo.

Cuando un agente de Inteligencia Artificial adquiere la capacidad de consultar repositorios, ejecutar scripts, modificar registros en bases de datos o enviar información a través de la red, deja de ser un mero software auxiliar. Se convierte en un actor con capacidad operativa dentro de la red interna.

Cualquier actor que opere sobre activos críticos de la empresa debe estar sujeto al mismo rigor de supervisión, gobierno de identidades, contención de privilegios y protección de datos que se aplica a los usuarios más privilegiados de la organización. Garantizar este equilibrio entre innovación agéntica y control de seguridad será una de las responsabilidades centrales de la dirección de ciberseguridad en la nueva era de la IA.

Cosmikal

En Cosmikal fabricamos soluciones de ciberseguridad orientadas a proteger el acceso a la infraestructura y los activos críticos de las organizaciones. Nuestros productos se desarrollan con las tecnologías más avanzadas asegurando los dos pilares clave que exige la IA agéntica: la gobernanza de identidades y accesos privilegiados (IAM/PAM) para evitar permisos desmedidos, y la protección frente a la fuga de datos (DLP) sobre la información sensible procesada por los sistemas.