Seguridad en MCP: el protocolo como nueva superficie de ataque

"Model Context Protocol: Can it be the next carrier of AI Security Risks?" es el titular con el que Security Boulevard abrió el 4 de agosto de 2026. La pregunta no es nueva, pero llega en un momento concreto: MCP ya no es una propuesta de laboratorio, sino la vía por la que un asistente accede a repositorios, bases de datos, correo y sistemas de ficheros de empresas reales.

El planteamiento es directo. Si el protocolo se convierte en la capa estándar de conexión entre modelos y herramientas, también se convierte en el sitio por donde pasa todo lo que interesa a un atacante. Merece la pena desmontar por qué esa preocupación tiene base, sin convertirla en pánico.

Conviene situar la escala. MCP se publicó a finales de 2024 y hoy hay servidores oficiales y comunitarios para casi cualquier servicio de uso común, desde control de versiones hasta hojas de cálculo y sistemas de tickets. Cada uno de ellos es, en la práctica, una puerta más en el perímetro de un equipo que probablemente no la ha inventariado.

Dónde está el riesgo real

Un servidor MCP no es un plugin en un sandbox. Es un proceso que corre en tu máquina o en tu red, con tus credenciales, y que devuelve texto que el modelo va a leer como contexto. De ahí salen tres familias de problemas:

Inyección indirecta de prompts. Si una herramienta devuelve contenido controlado por un tercero, como un issue de GitHub, un correo o una página web, ese contenido entra en la ventana de contexto con el mismo estatus que las instrucciones del usuario. El modelo puede acabar ejecutando lo que pone ahí.
Permisos excesivos. Muchos servidores piden un token con más alcance del necesario porque es lo más rápido de configurar. Un token de lectura y escritura sobre todo el workspace convierte un fallo menor en un incidente serio.
Cadena de suministro. Instalar un servidor de la comunidad suele ser un comando, y actualizarlo también. Entre medias hay un paquete que puede cambiar de manos sin que nadie lo revise.

El caso más incómodo combina dos de ellos. Un servidor con permisos amplios que además consume contenido externo no necesita un fallo de código para causar daño: basta con que alguien deje instrucciones en un ticket y que el agente las trate como parte del encargo. Es el escenario que más se repite en las demostraciones públicas de los últimos meses y el más fácil de reproducir en un entorno de pruebas.

Ninguno de estos vectores es exclusivo de MCP. Lo específico es la combinación: instalación en un comando, credenciales de larga duración en un fichero de configuración y un consumidor que por defecto no distingue entre dato e instrucción.

Qué se puede hacer hoy

No hace falta esperar a una versión futura del estándar para reducir la exposición:

Credenciales por servidor y con el mínimo alcance. Reutilizar el token personal de administrador es la vía rápida y también la peor.
Fijar versiones. Instalar por etiqueta flotante en un entorno con acceso a producción es una decisión consciente, no un descuido.
Confirmación humana en operaciones destructivas. Claude Code permite interponer hooks de tipo PreToolUse para auditar o bloquear llamadas antes de que se ejecuten, y ese gancho es el sitio natural para una política de equipo.
Separar entornos. El servidor que lee el CRM no tiene por qué convivir en la misma sesión que el que escribe en el repositorio.
Leer el código. Los servidores útiles suelen ser pequeños, y media hora de lectura vale más que una lista de dependencias.

Para quién es esto

Para cualquier equipo que ya haya pasado del "probemos un MCP" al "tenemos cuatro servidores en producción". Ese salto suele ocurrir sin decisión formal: alguien conecta el primero, funciona, y en dos semanas hay una infraestructura que nadie ha revisado ni documentado. El artículo de Security Boulevard sirve como excusa razonable para hacer ese inventario y ponerle fecha.

Nuestra lectura

MCP no es más inseguro que las integraciones que sustituye. Lo que hace es concentrar en un punto riesgos que antes estaban repartidos y peor documentados, y eso es una mejora si el inventario se mantiene o una trampa si se deja crecer solo. La pieza completa está en Security Boulevard.