La inteligencia artificial está creciendo a un ritmo que pocos logran seguir — y eso incluye a los equipos de seguridad.
Cada nuevo estándar que aparece en el ecosistema de IA se propaga en meses, no en años.
Eso es genial para la evolución de la tecnología, pero abre brechas que tardan demasiado en cerrarse.
Es exactamente ahí donde los MCP servers entran en escena.
Lanzado por Anthropic en noviembre de 2024, el Model Context Protocol — el MCP — se convirtió en el estándar favorito para conectar agentes de IA con herramientas externas y fuentes de datos. En menos de 12 meses, ya estaba presente en prácticamente todos los grandes asistentes de código y en las principales plataformas de IA del mercado. Y las cifras impresionan: en diciembre de 2025, Anthropic anunció que más de 10 mil servidores MCP públicos activos ya estaban en operación, con soporte de gigantes como AWS, Google Cloud y Azure.
Crecimiento impresionante, sin duda. Pero toda esa velocidad tuvo un costo.
Mientras la adopción explotó, la seguridad se quedó atrás — y la ventana de vulnerabilidad que se abrió es más grande de lo que la mayoría de la gente imagina. Las amenazas que rondan esta infraestructura van desde ataques sofisticados que manipulan el comportamiento de los agentes hasta filtración de datos escondida dentro de llamadas aparentemente normales. Y los números lo confirman: el 40% de los servidores MCP analizados tenían vulnerabilidades explotables.
Reciba el mejor contenido sobre innovación en su correo electrónico.
Todas las noticias, consejos, tendencias y recursos que buscas, directamente en tu bandeja de entrada.
Al suscribirte al boletín informativo, aceptas recibir comunicaciones de Método Viral. Nos comprometemos a proteger y respetar siempre tu privacidad.
En este artículo vas a entender por qué los MCP servers se convirtieron en el nuevo blanco favorito de los hackers, cuáles son los principales riesgos involucrados y qué están construyendo ahora las empresas de seguridad para intentar cerrar esa brecha antes de que ocurra algo grave. 🔐
Cómo el MCP se convirtió en el conector estándar de la IA en apenas un año
Para entender el problema, primero hay que entender qué hace el MCP en la práctica. Funciona como un puente estandarizado entre un modelo de lenguaje — como Claude, GPT o cualquier otro — y el mundo exterior: archivos, bases de datos, APIs, herramientas de desarrollo, sistemas internos de empresas. Antes del MCP, cada integración se hacía de forma personalizada, artesanal, lo que volvía todo más lento, pero también más aislado.
La gran ventaja de un servidor MCP es que permite que agentes, asistentes y herramientas de código usen una única interfaz para conectarse de forma segura a múltiples herramientas y fuentes de datos, en lugar de necesitar un conector personalizado para cada caso. Plataformas líderes como ChatGPT, Gemini, Microsoft Copilot, Cursor y Visual Studio Code ya adoptaron el estándar. Esa curva de adopción validó al MCP como el protocolo elegido por Anthropic para conexiones entre agentes y herramientas — algo poco común en el espacio altamente competitivo de los modelos de lenguaje.
El problema es que toda esa fluidez no vino acompañada de capas robustas de protección desde el inicio — y cuando un estándar se expande tan rápido sin controles adecuados, inevitablemente se convierte en carnada para quienes quieren explotar fallas. Las defensas de IA existentes simplemente no fueron construidas para situaciones en las que los agentes acceden a herramientas y sistemas sensibles de forma dinámica.
El panorama se volvió aún más delicado porque los MCP servers no operan en entornos controlados. Están expuestos a agentes de IA que reciben instrucciones de diversas fuentes — y no siempre esas fuentes son confiables. Un agente puede ser instruido, por ejemplo, a buscar información en una página web o en un documento externo. Si ese contenido fue manipulado por un atacante, el agente puede empezar a ejecutar acciones que nadie autorizó, simplemente porque interpretó ese contenido como una instrucción legítima. Ese tipo de ataque tiene nombre: prompt injection. Y es particularmente peligroso justamente porque no requiere acceso directo al sistema — el ataque ocurre dentro del flujo normal de uso.
Además del prompt injection, los MCP servers también enfrentan otro problema estructural: la falta de verificación de identidad entre servidores. Cuando un agente de IA se conecta a un servidor MCP, en muchos casos no existe un mecanismo sólido para confirmar que ese servidor es quien dice ser. Eso abre espacio para ataques de server spoofing, donde un servidor falso se hace pasar por legítimo y comienza a recibir — e a interceptar — información sensible que debería ir a otro lugar. Con el 40% de los servidores analizados presentando vulnerabilidades explotables, este no es un riesgo teórico. Es una realidad operativa. 😬
Qué sale mal cuando un MCP server tiene una falla
Cuando los investigadores de seguridad empezaron a mirar más de cerca el ecosistema MCP, lo que encontraron fue una superficie de ataque bastante más amplia de lo esperado. La OWASP, el Open Worldwide Application Security Project, ya mapeó una serie de amenazas serias que afectan a los servidores MCP. La combinación entre velocidad de adopción, falta de estándares de seguridad consolidados y la naturaleza autónoma de los agentes de IA creó un conjunto de vectores de ataque que todavía se están mapeando.
Entre las amenazas más relevantes identificadas hasta ahora, algunas destacan por su sofisticación y su potencial de daño:
- Tool Poisoning: una preocupación central, que lleva el prompt injection a otro nivel al incrustar instrucciones maliciosas en descripciones de herramientas, esquemas o valores de retorno, manipulando el comportamiento del agente.
- Rug Pull: un ataque propio del ecosistema emergente de IA, en el que el atacante altera la definición de una herramienta después de que un humano ya la aprobó, explotando exactamente la confianza creada por esa aprobación.
- Tool Shadowing y escalada cross-origin: el atacante usa la descripción de una herramienta de un servidor malicioso para manipular cómo el agente utiliza herramientas que pertenecen a otro servidor confiable.
- Exfiltración de datos por canales legítimos: información sensible se inserta de forma discreta dentro de llamadas que parecen completamente normales, como búsquedas y correos electrónicos, haciendo la detección muy difícil sin una capa de análisis específica.
- Escalada de privilegios: el servidor recibe más acceso del que la tarea realmente requiere, creando una exposición mucho mayor de lo necesario.
Lo que hace que este conjunto de amenazas sea especialmente complicado de gestionar es que muchos de estos ataques no activan las alertas tradicionales de seguridad. No parecen intrusiones — parecen uso normal del sistema. Un firewall convencional no va a identificar un prompt injection incrustado en un PDF que el agente fue instruido a leer. Una solución de antivirus no va a detectar una herramienta MCP que fue modificada para ejecutar una función diferente de la que está descrita. Eso exige un enfoque completamente diferente de protección, pensado específicamente para el contexto de agentes de IA operando en entornos conectados.
Otro punto que los especialistas destacan es el efecto cascada que un servidor MCP comprometido puede tener. Como el MCP fue diseñado para ser el eslabón central entre el agente y múltiples herramientas y fuentes de datos, comprometer un único servidor puede darle al atacante acceso simultáneo a varios sistemas diferentes — bases de datos, repositorios de código, herramientas de comunicación interna, sistemas de archivos. No es exagerado decir que un servidor MCP mal protegido puede ser la puerta de entrada para un ataque de proporciones mucho mayores de las que la mayoría de los equipos de TI están preparados para contener. 🚨
Por qué seguridad de MCP no es lo mismo que seguridad de agente
Aquí vale una aclaración importante: proteger los MCP servers es vital, pero no es el panorama completo. Conectarse a través de servidores MCP es solo una de las muchas formas que tienen los agentes de IA para alcanzar las herramientas y los datos que necesitan. Garantizar la seguridad de esa capa ayuda bastante a prevenir tool poisoning, acceso no autorizado y filtración de datos — pero no es suficiente por sí solo. Los agentes todavía pueden interactuar con otros sistemas sin usar el MCP en ningún momento.
Eso convierte la seguridad de MCP en apenas un hilo dentro de un tapiz mucho más amplio de seguridad de IA. Cuando evalúes proveedores de soluciones de protección para servidores MCP, es importante analizarlos dentro de ese contexto mayor. Vale verificar qué tan bien protegen las interacciones y riesgos específicos del MCP, pero aún vas a necesitar controles adicionales para blindar todo el ecosistema de IA — así que comprobar el nivel de integración con el resto de tu stack de seguridad marca toda la diferencia.
El Firewall que la IA necesita — y que todavía se está construyendo
La buena noticia es que la comunidad de seguridad ya despertó ante el problema. Empresas especializadas e investigadores independientes están desarrollando soluciones que funcionan como una capa de protección dedicada para el tráfico que pasa por los MCP servers — algo que empieza a llamarse informalmente firewall para IA. Vale una aclaración: ese término hoy tiene dos significados. Uno es el firewall más antiguo, potenciado por IA, que defiende una red contra amenazas convencionales como malware e intrusiones. El otro, más nuevo y el que nos interesa aquí, es el firewall construido específicamente para defender a la propia IA: sus modelos, agentes y las herramientas conectadas, contra amenazas como prompt injection y filtración de datos.
La idea central es crear un punto de control que analice no solo lo que se está transmitiendo, sino el contexto en el que esa transmisión está ocurriendo, identificando patrones de comportamiento sospechosos que un sistema de seguridad tradicional simplemente no puede ver. Algunos de los enfoques que se están desarrollando incluyen sistemas de análisis semántico de los mensajes que circulan entre agentes y servidores MCP, capaces de identificar instrucciones maliciosas incluso cuando están disfrazadas dentro de contenido aparentemente legítimo.
Diferentes empresas ya están apostando por caminos distintos. El AI Gateway de TrueFoundry ofrece gobernanza en la capa de infraestructura, con control de acceso y auditoría de las interacciones entre herramientas y agentes MCP. Cisco extendió su producto AI Defense para incluir guardrails orientados a agentes, escaneo de MCP e inspección de tráfico en tiempo real, diseñados para detectar y bloquear comportamientos inseguros.
Herramientas que usamos a diario
Por su parte, el AI Network Firewall de Check Point, lanzado en julio de 2026, adopta un enfoque centrado en la red, integrando la seguridad de IA a la infraestructura de firewall ya existente de los clientes. Descubre servidores MCP, inspecciona el tráfico MCP y aplica políticas en torno al acceso de los agentes, cubriendo tanto interacciones de empleados y aplicaciones como de agentes con el MCP y otras conexiones externas.
El desafío mayor, sin embargo, es que estas soluciones necesitan implementarse en un ecosistema que ya está en movimiento. No se puede simplemente pausar la adopción del MCP mientras se ajusta la seguridad — las empresas ya lo están usando, los agentes ya están operando y los datos ya están fluyendo. Eso significa que cualquier solución de seguridad necesita ser capaz de integrarse al entorno existente sin crear fricción operativa significativa, algo que es técnicamente mucho más difícil que construir protecciones desde cero. 🛡️
Qué pueden hacer las empresas ahora mismo
Mientras las soluciones definitivas todavía se están finalizando, existen prácticas que ya marcan la diferencia en la reducción de la superficie de ataque de los MCP servers. La primera de ellas es el principio de menor privilegio aplicado de forma rigurosa: cada agente de IA debe tener acceso únicamente a las herramientas y fuentes de datos estrictamente necesarias para la tarea que ejecuta, sin permisos extras que puedan ser explotados en un ataque de escalada. Eso parece obvio, pero en la práctica muchas implementaciones de MCP todavía conceden permisos amplios por comodidad — y comodidad, en este contexto, es sinónimo de riesgo.
Otra práctica importante es el monitoreo activo del comportamiento de los agentes, con alertas configuradas para identificar patrones fuera de lo normal — como un agente que empieza a acceder a recursos que nunca había accedido antes, o que comienza a hacer un volumen atípicamente alto de llamadas a un servidor específico. Este tipo de monitoreo comportamental es diferente del monitoreo de red tradicional y requiere herramientas adaptadas al contexto de IA, pero ya existen opciones disponibles en el mercado que pueden hacer este análisis de forma eficiente.
Por último, las revisiones regulares de las herramientas y servidores MCP registrados en el entorno son esenciales. El ecosistema MCP todavía es muy joven, lo que significa que herramientas de terceros entran y salen con frecuencia, las actualizaciones ocurren sin mucho aviso y la cadena de suministro de este ecosistema aún no ha sido auditada de forma consistente. Mantener un inventario actualizado de todo lo que está conectado al entorno MCP de la empresa — y revisar ese inventario con regularidad — es una de las formas más simples y eficaces de reducir el riesgo de una sorpresa desagradable.
La seguridad siempre queda rezagada cuando la infraestructura escala a esta velocidad, y el MCP está siguiendo exactamente ese patrón. En este momento, vemos proveedores y organizaciones probando soluciones diferentes para un problema emergente — ya sea un firewall de red consciente de IA, gobernanza en la capa de infraestructura o guardrails dedicados. Qué enfoque va a ganar importa mucho menos que la capacidad de los equipos de cerrar esta brecha antes de que un ataque específico al MCP fuerce la situación. La inteligencia artificial llegó para quedarse, los MCP servers son parte central de esta historia, y la seguridad de esta infraestructura va a definir mucho de lo que ocurra en los próximos años en el campo de la IA corporativa. 🔒
