MCP da el salto empresarial, pero la seguridad pasa a manos de los desarrolladores

El protocolo Model Context Protocol (MCP), diseñado para estandarizar la forma en que los modelos de lenguaje grande (LLM) interactúan con herramientas y fuentes de datos externas, acaba de recibir una revisión significativa orientada a satisfacer las exigencias de los entornos corporativos. Sin embargo, esta evolución trae consigo un cambio de paradigma que merece atención: las garantías de seguridad que antes se esperaba que el propio protocolo proporcionara quedan ahora en manos de quienes lo implementan.

¿Qué es MCP y por qué importa en la empresa?

MCP actúa como una capa de integración entre los agentes de inteligencia artificial y los sistemas que los rodean: bases de datos, APIs, servicios SaaS y repositorios de código, entre otros. En un contexto empresarial, esto significa que un agente de IA puede, en teoría, consultar documentación interna, ejecutar consultas sobre datos sensibles o interactuar con plataformas críticas, todo bajo la orquestación de este protocolo.

La nueva especificación apunta a cubrir necesidades reales del entorno corporativo: mayor interoperabilidad, soporte para escenarios de múltiples agentes y una arquitectura más robusta para gestionar sesiones y contexto. En ese sentido, el salto cualitativo es notable.

El problema: la seguridad se externaliza al ecosistema

El aspecto que genera más preocupación entre los profesionales de seguridad es que la nueva versión delega explícitamente en los desarrolladores y operadores de plataforma la responsabilidad de implementar los controles de seguridad adecuados. El protocolo en sí no impone mecanismos de autenticación estrictos ni políticas de autorización por defecto; es el integrador quien debe construirlos.

Esto crea una superficie de riesgo considerable. Cuando la seguridad depende de decisiones de implementación y no de restricciones nativas del protocolo, la homogeneidad desaparece. Cada despliegue de MCP puede tener un nivel de seguridad diferente según las decisiones —o las omisiones— de su equipo de desarrollo.

Algunas áreas de riesgo concretas que se derivan de este modelo incluyen:

  • Ausencia de controles de autorización predeterminados: sin una política de mínimo privilegio aplicada por el protocolo, los agentes podrían acceder a más contexto del necesario.
  • Gestión de credenciales y tokens: la integración con sistemas externos requiere gestionar secretos, y un error aquí puede comprometer sistemas críticos.
  • Validación de entradas y salidas de los agentes: sin sanitización adecuada, los flujos MCP pueden convertirse en vectores de inyección de prompt o exfiltración de datos.
  • Auditoría y trazabilidad: sin logging obligatorio en la especificación, la visibilidad sobre lo que hacen los agentes puede ser limitada si no se configura expresamente.

Implicaciones para los equipos de seguridad corporativos

Para los equipos de IT y seguridad que están evaluando o ya desplegando soluciones basadas en agentes de IA, la llegada de este estándar empresarial no es una señal para bajar la guardia, sino para elevar el nivel de escrutinio. Antes de integrar cualquier servidor o cliente MCP en el entorno productivo, conviene realizar una revisión de la arquitectura de seguridad que contemple:

  1. Mapeo de superficies de exposición: ¿a qué sistemas tiene acceso el agente MCP? ¿Cuáles son los peores escenarios de acceso indebido?
  2. Revisión del modelo de autenticación y autorización implementado por el proveedor o el equipo interno.
  3. Políticas de retención y revisión de logs generados por las interacciones del agente.
  4. Pruebas de seguridad específicas para flujos de agentes, incluyendo inyección de prompt y escalada de contexto.

El ritmo de adopción de los agentes de IA en la empresa es elevado, y los equipos de seguridad deben incorporar este tipo de protocolos a su modelo de amenazas antes de que los incidentes marquen el camino.

¿Estás cubierto en DefensOps?

Aunque las técnicas MITRE ATT&CK específicas para flujos MCP están aún en proceso de formalización en el marco de referencia, DefensOps ofrece cobertura genérica frente a comportamientos anómalos asociados a integraciones de agentes de IA a través de su motor de correlación, disponible desde el plan Essential.

El motor de correlación de DefensOps permite detectar patrones inusuales de acceso a sistemas, movimientos laterales entre servicios integrados y anomalías en el comportamiento de aplicaciones conectadas, lo que resulta especialmente relevante cuando se despliegan componentes MCP en entornos productivos.

Protege tu entorno antes de que los agentes de IA abran puertas que no debían abrirse.

👉 Consulta los planes y solicita una demo en DefensOps

Fuente: SecurityWeek – New Enterprise-Ready MCP Specification Brings New Security Challenges