Conectar una herramienta a tu IA es darle una llave.

Dentro del expediente

Un despacho conecta su asistente de IA al correo, al gestor documental y a la herramienta donde recibe los mensajes de los clientes. Cada conexión se aprobó por separado, con un clic y una buena razón. Nadie miró qué podía hacer el asistente con las tres a la vez.

El caso es sintético. Las piezas, no. En el expediente 02 escribí que un agente se juzga por sus permisos. Aquí toca mirar cómo se los damos.

Qué es MCP

MCP, el Model Context Protocol, es un estándar abierto que Anthropic presentó en noviembre de 2024 para conectar asistentes de IA con herramientas y datos Fuente primaria ↗. Cada servicio se enchufa mediante un servidor, que en la práctica funciona como un conector. Hay uno para el correo, otro para los documentos, otro para la base de datos. Lo han adoptado OpenAI, Microsoft y Google OpenAI ↗ Microsoft ↗ Google ↗, y se ha convertido en una de las formas más extendidas de dar manos a un asistente. En diciembre de 2025, Anthropic anunció su donación a una fundación de la Linux Foundation Fuente primaria ↗.

Su especificación actual tiene una frase que conviene leer despacio, la que dice que el protocolo no puede imponer sus principios de seguridad por sí mismo. Enuncia como principio que la aplicación debe obtener el consentimiento del usuario antes de usar una herramienta, y la persona en el circuito la formula como recomendación, no como obligación Fuente primaria ↗. La protección depende de la aplicación que uses, no del estándar.

Lo que se ha visto

En abril de 2025, Invariant Labs mostró que un conector malicioso podía esconder instrucciones en la descripción de sus herramientas, que el modelo lee y el usuario no ve Fuente primaria ↗. En mayo, el mismo equipo documentó cómo un contenido publicado en un repositorio público de GitHub podía llevar al asistente de un usuario a consultar sus repositorios privados y publicar lo que encontraba. Subrayaron que no era un fallo del código del servidor de GitHub Fuente primaria ↗.

En julio, General Analysis hizo una demostración con datos ficticios. Un mensaje de soporte con instrucciones escondidas llevó al asistente de un desarrollador a leer datos de la base y escribirlos en el propio hilo, visible para quien envió el mensaje. El asistente usaba una credencial que, por diseño, se saltaba la seguridad por filas de la base de datos Fuente primaria ↗. La empresa de la base de datos respondió después con más controles y una advertencia sin rodeos, la de no conectar nunca agentes de IA directamente a datos de producción. Reconoció que sus medidas reducían el riesgo, pero no lo eliminaban Fuente primaria ↗.

Y en septiembre apareció en el repositorio de paquetes npm un conector falso que suplantaba a una empresa de envío de correo. Tras varias versiones limpias, una actualización añadió una copia oculta de los correos enviados. La empresa suplantada no había publicado ese conector en npm Fuente primaria ↗. El conector solo hacía lo que se le había autorizado, enviar correo. Lo nuevo era el destinatario.

El problema está en el llavero

Simon Willison lo bautizó en junio de 2025 como la tríada letal. Un agente que combina acceso a tus datos privados, exposición a contenido no fiable y capacidad de comunicarse hacia fuera puede ser engañado con facilidad. Añadió que MCP anima a mezclar herramientas de orígenes distintos Fuente primaria ↗. Los casos de GitHub y de la base de datos encajan, porque nadie rompió el protocolo. Alguien juntó tres llaves que por separado parecían razonables. El del paquete falso es otro problema, el de saber quién publica lo que instalas.

Para un despacho, la tentación es exactamente esa. El correo trae contenido de terceros. El gestor documental guarda datos privados. Y una herramienta que envía, publica o escribe donde un tercero puede leer es una salida. Cada conexión tiene sentido. Juntas, forman la tríada.

Las autoridades lo dicen con otras palabras. La Agencia Española de Protección de Datos califica los permisos excesivos de los agentes como un factor crítico Fuente primaria ↗. Una guía conjunta de agencias de ciberseguridad de varios países, de 2026, pide no dar a los agentes acceso amplio o sin restricciones a información sensible, y ni siquiera nombra MCP Fuente primaria ↗. Hablan de permisos, que es de lo que se trata.

Lo que queda abierto

Queda abierto quién responde cuando el daño lo causa la combinación y no una pieza. El proveedor de cada conector puede decir que su conector funcionó como estaba previsto, y probablemente tenga razón.

Queda abierto cómo sabe un despacho quién publicó el conector que instala. En el caso del correo, el nombre de la empresa estaba en el paquete. La empresa, no.

Y queda abierto qué se aprueba de verdad cuando la aplicación pide permiso con un clic. Es la pregunta del expediente 01, aplicada a una llave.

Declaración de interés. Desarrollo herramientas de trabajo con IA para mi despacho, y alguna se conecta a los asistentes mediante MCP. No las nombro ni las describo en este cuaderno.

Una llave sola rara vez es el peligro. El peligro es el llavero entero.

Lo que me preguntan cuando cierro el portátil.

¿Qué es MCP en inteligencia artificial?

El Model Context Protocol es un estándar abierto, presentado por Anthropic en noviembre de 2024, que define cómo un asistente de IA se conecta a herramientas y fuentes de datos externas mediante servidores, llamados conectores. Permite, por ejemplo, que el asistente lea el correo, consulte una base de datos o cree una tarea. Lo han adoptado otros grandes fabricantes y en diciembre de 2025 Anthropic anunció su donación a la Agentic AI Foundation, de la Linux Foundation.

¿Es inseguro MCP?

Depende del caso. En los más citados, como el del servidor de GitHub documentado por Invariant Labs en 2025, los propios investigadores subrayaron que no había un fallo en el código del servidor. El riesgo surgió de lo que el asistente podía hacer a la vez, que era leer contenido no fiable, acceder a datos privados y publicar o enviar información. También ha habido fallos de software clásicos y un paquete falso que suplantaba a una empresa. Los mismos investigadores, en cambio, describieron el envenenamiento de herramientas como un problema que hay que abordar también en el protocolo.

¿Qué dicen las autoridades sobre conectar agentes de IA a herramientas?

La Agencia Española de Protección de Datos califica los permisos excesivos de los agentes como un factor crítico y aplica el principio de menor privilegio. Una guía conjunta de agencias de ciberseguridad de 2026 pide no dar a los agentes acceso amplio o sin restricciones a información sensible. Ninguna de las dos se limita a MCP, porque hablan de permisos.

El expediente detrás del artículo.

Introducing the Model Context Protocol ↗Anthropic · 25 de noviembre · 2024
Anuncio del fabricanteopenai-agents-python, versión 0.0.7 ↗GitHub · OpenAI · 26 de marzo · 2025
Notas de versiónSecuring the Model Context Protocol: Building a safer agentic future on Windows ↗Windows Experience Blog · Microsoft · 19 de mayo · 2025
Comunicación de la empresaAnnouncing Model Context Protocol (MCP) support for Google services ↗Google Cloud Blog · diciembre · 2025
Comunicación de la empresaMCP joins the Agentic AI Foundation ↗Blog oficial de MCP · 9 de diciembre · 2025
Comunicación del proyectoEspecificación del Model Context Protocol, versión 2026-07-28 ↗Model Context Protocol · seguridad, herramientas y autorización · 2026
Especificación técnica oficialMCP Security Notification: Tool Poisoning Attacks ↗Invariant Labs · 1 de abril · 2025
Investigación de seguridadGitHub MCP Exploited: Accessing private repositories via MCP ↗Invariant Labs · 26 de mayo · 2025
Investigación de seguridadSupabase MCP can leak your entire SQL database ↗General Analysis · 8 de julio · 2025
Investigación de seguridad, demostración con datos ficticiosDefense in Depth for MCP Servers ↗Supabase · 16 de septiembre · 2025
Comunicación del fabricantePaquete malicioso postmark-mcp que suplantaba a Postmark ↗Postmark · 25 de septiembre · 2025
Aviso del fabricante suplantadoThe lethal trifecta for AI agents ↗Simon Willison · 16 de junio · 2025
Análisis de un expertoInteligencia artificial agéntica desde la perspectiva de protección de datos, V1.2 ↗Agencia Española de Protección de Datos · febrero · 2026
Orientaciones de la autoridad de controlCareful adoption of agentic AI services ↗CISA, NCSC y otras agencias de ciberseguridad · 30 de abril · 2026
Guía conjunta de agencias gubernamentales

Fuentes consultadas hasta el 1 de octubre de 2026. Las recomendaciones y ejemplos son elaboración editorial y no se atribuyen íntegramente a estas fuentes. Comprueba versión y ámbito antes de aplicar una norma.

Divulgación general. Ninguna herramienta de esta web certifica la revisión, seguridad o conformidad de un proceso.