Model Context Protocol (MCP) se está convirtiendo rápidamente en una capa fundamental para la interacción de los agentes de IA con los sistemas empresariales. ¡Y eso es emocionante! MCP permite que la IA se conecte a datos, herramientas y flujos de trabajo reales —sistemas CRM, plataformas de gestión de incidencias, aplicaciones internas y APIs—, todo ello con el objetivo de lograr una automatización más inteligente y tomar decisiones con mayor rapidez. Pero hay un aspecto del que no hablamos lo suficiente: MCP también introduce una superficie de ataque completamente nueva. Una que la mayoría de las organizaciones ya están exponiendo… sin darse cuenta. Cada semana hablo con responsables de seguridad, TI y producto que se apresuran a adoptar la IA. Muchos ya utilizan MCP directa o indirectamente, pero muy pocos pueden responder con seguridad a preguntas básicas como:
- ¿Dónde se utiliza MCP actualmente?
- ¿Qué agentes y herramientas están conectados?
- ¿A qué datos y sistemas acceden esas conexiones?
Esa falta de visibilidad es solo la punta del iceberg de los riesgos, mientras el S.S. MCP navega a toda máquina. Analicemos los ocho principales riesgos de seguridad de MCP que toda organización que utilice IA debe comprender antes de que se conviertan en incidentes reales.
1. Falta de visibilidad sobre el uso de MCP
El riesgo más común de MCP es también el más sencillo: las organizaciones no saben dónde se está utilizando MCP. Los equipos de seguridad a menudo carecen de un inventario completo de:
- Agentes de IA que utilizan MCP
- Servidores MCP adoptados localmente o desplegados de forma remota
- Los sistemas empresariales a los que ahora pueden acceder los agentes o clientes de IA, o las identidades que utilizan
Sin visibilidad, no hay forma de evaluar la exposición, aplicar políticas ni responder a incidentes. MCP acaba interactuando con bases de datos, API y herramientas internas sin estar sujeto a los mismos controles que estas. No se puede proteger lo que no se puede ver.
2. Acceso no controlado a servidores MCP remotos
MCP facilita que los agentes se conecten a servidores remotos vinculados a plataformas SaaS empresariales críticas, como sistemas CRM, ERP o plataformas de datos. Sin embargo, cuando esas conexiones no se gestionan de forma centralizada, pueden establecerse sin aprobación ni supervisión. Los agentes y los usuarios que los utilizan pueden obtener acceso a sistemas sensibles sin que los equipos de seguridad sean conscientes de ello. Esta falta de control amplía drásticamente la superficie de ataque y aumenta el riesgo de accesos no autorizados o involuntarios.
3. Servidores MCP locales de riesgo o no aprobados
MCP no solo existe en infraestructuras centralizadas. Los desarrolladores y los usuarios avanzados pueden crear (¡y de hecho crean!) servidores MCP locales en sus propios equipos para experimentar o avanzar más rápido. Aunque esa flexibilidad forma parte del atractivo de MCP, también conlleva riesgos importantes. Los servidores MCP locales suelen:
- Eludir las políticas de seguridad empresariales
- Operar sin supervisión ni registro
- Exponer datos sensibles fuera de los entornos autorizados
Estos «servidores» se convierten, en la práctica, en una infraestructura en la sombra, invisible para los equipos de seguridad, pero con plena capacidad para acceder a los sistemas empresariales. Intentar impedir el uso local de MCP implica impedir que los desarrolladores ejecuten cualquier tipo de código (¡y paralizar la empresa!). Además, no solo los utilizan los desarrolladores: la posibilidad de añadir con un clic un servidor MCP como «integración» ya forma parte de la experiencia nativa de la mayoría de los clientes de IA, lo que hace que MCP esté presente desde la línea de comandos hasta la alta dirección.
4. Acciones destructivas a través de servidores MCP
A diferencia de las integraciones pasivas, las llamadas de MCP pueden desencadenar acciones, incluso involuntarias, ya que MCP no es una integración de solo lectura. Las solicitudes de MCP pueden provocar acciones reales, incluidas acciones destructivas. Sin las medidas de protección adecuadas, MCP puede utilizarse para eliminar datos, cambiar configuraciones, desplegar cargas de trabajo maliciosas, hacer un uso indebido de las API o activar flujos de trabajo de formas no previstas. No se trata de un riesgo hipotético. MCP es interactivo por diseño, lo que significa que los errores (o el uso indebido) pueden tener consecuencias operativas inmediatas.
5. Autenticación persistente del usuario final
Muchos clientes de IA autentican las solicitudes de MCP utilizando la identidad del usuario final. Esto significa que el agente hereda, en la práctica, los derechos de acceso del usuario. El problema es que esos privilegios se diseñaron para que los utilizara una persona, no para permitir el acceso a sistemas no deterministas. No solo falta la supervisión del usuario, sino que las credenciales concedidas pueden seguir siendo válidas después de que finalice la sesión original. Si no se controla estrictamente, la actividad de MCP puede continuar con permisos elevados mucho después de que el usuario haya cerrado sesión, lo que aumenta el riesgo de uso indebido de credenciales, extralimitación y acceso no autorizado.
6. Ataques a la cadena de suministro de MCP
MCP no existe de forma aislada. Depende de una red de herramientas, dependencias, servidores y componentes de terceros. Si alguna parte de esa cadena se ve comprometida, los atacantes pueden manipular agentes de IA, interceptar solicitudes o extraer datos. Estos ataques se aprovechan de relaciones de confianza que las organizaciones consideran seguras y son extremadamente difíciles de detectar sin una visibilidad específica de MCP.
7. Exfiltración de datos a servicios de IA de terceros
No todos los endpoints de MCP son iguales. Las herramientas no verificadas o los servidores MCP externos pueden exportar de forma encubierta prompts, contexto o datos confidenciales de la empresa a servicios de IA de terceros o a agentes maliciosos. Dado que este tráfico suele parecer una actividad legítima de MCP, puede eludir los controles de seguridad tradicionales. Como resultado, los datos confidenciales pueden salir de la organización sin que nadie lo advierta.
8. Propiedad intelectual corporativa bajo licencias personales
Uno de los riesgos que más rápido está creciendo es el uso de agentes MCP configurados con cuentas personales de IA. Cuando los empleados utilizan ChatGPT para consumidores, Claude u otras licencias personales para acceder a datos empresariales a través de MCP, esos datos pueden acabar en entornos que no cumplen la normativa. Esto pone en grave riesgo la propiedad intelectual de la empresa, los datos regulados y el cumplimiento normativo, a menudo sin que exista una intención maliciosa.
Cómo es una gobernanza eficaz de MCP
Comprender estos riesgos es solo la mitad del camino. Para gestionar MCP de forma realmente segura, las organizaciones necesitan controles específicos para el funcionamiento de MCP, no solo políticas tradicionales de cortafuegos y de gestión de identidades y accesos (IAM).
La adopción e implementación satisfactorias de MCP deben:
- Aplicar las políticas de acceso de MCP y bloquear en tiempo real los servidores y las herramientas no autorizados, tanto en servidores locales como remotos, en cualquier cliente o agente de IA
- Detecta y detén las solicitudes MCP arriesgadas o destructivas antes de que causen daños
- Protéjase frente a clientes internos maliciosos y ataques a la cadena de suministro de MCP
- Mantenga una visibilidad continua de toda la actividad de MCP
Cuando estos controles están implantados, los equipos de seguridad adquieren la confianza necesaria para respaldar la adopción de la IA sin frenar la innovación. Esa es precisamente la carencia que F5 Workforce AI Security, anteriormente denominado SurepathAI, se creó para subsanar. Ayudamos a las organizaciones a adoptar MCP de forma segura, con visibilidad y control desde el primer día, para que los equipos puedan avanzar con rapidez sin comprometer la seguridad.
Si MCP está en tu hoja de ruta (o ya forma parte de tu entorno), ¡hablemos! Solicita una demostración.
Sobre el autor
Artículos relacionados del blog
IA agéntica en ciberseguridad: promesas y riesgos
Descubre por qué el uso de la IA agéntica en ciberseguridad es esencial para combatir las amenazas impulsadas por IA y por qué los agentes también generan nuevos riesgos empresariales.
Cómo los clientes de F5 del sector financiero abordan la soberanía digital sin frenar la innovación
¿Cómo se materializa la soberanía digital en el mundo real? Dos proyectos recientes de F5 con clientes muestran cómo distintas empresas están afrontando estos retos.
Soberanía operativa: cómo desarrollar resiliencia en un mundo impredecible
Para muchas organizaciones, la cuestión ya no consiste únicamente en controlar los datos, sino en mantener la capacidad de operar, adaptarse y recuperarse a medida que evolucionan las leyes y las circunstancias.
No se puede proteger una conversación con un cortafuegos: cómo el red teaming de IA se volvió esencial
Dado que las implementaciones de IA avanzan a la velocidad de las máquinas, los métodos tradicionales de prueba de software ya no resultan adecuados.
Protege tu canalización de datos de IA sin ralentizarla
Proteger el flujo de datos de la IA no es opcional. Eso está claro. Lo que resulta mucho menos evidente —y mucho más difícil— es cómo protegerlo adecuadamente.
Las extranets no están muertas; solo necesitan una actualización
Modernice su extranet: descubra cómo F5 y Equinix ofrecen una conectividad para partners repetible, segura y escalable, sin la complejidad de las redes tradicionales.