El Protocolo de Contexto de Modelo está abriendo la puerta a nuevos y potentes flujos de trabajo. Permite que los modelos accedan a herramientas, consulten sistemas y realicen acciones en nombre de los usuarios. Esta capacidad aporta mejoras reales de productividad. También crea una nueva superficie de ataque práctica: cuando un modelo, agente o cliente de IA hereda la identidad de un usuario, pequeños cambios en una herramienta o paquete de MCP pueden introducir riesgos invisibles a gran escala.
El riesgo en una sola frase
Un servidor MCP que se ejecuta con las credenciales de un usuario puede acceder a los mismos sistemas y API que este. Las herramientas comprometidas no necesitan vulnerar la autenticación, pues ya actúan como el usuario legítimo.
Cómo se producen realmente estos ataques
Cada herramienta MCP proporciona al modelo un conjunto sencillo de datos: un nombre, una descripción comprensible para las personas y una lista de parámetros. El modelo utiliza esas descripciones para decidir qué herramienta invocar y cómo rellenar sus parámetros. En la práctica, los metadatos de las herramientas pueden influir en el comportamiento del modelo. Es decir, la inyección de instrucciones está integrada en el propio protocolo.
Por ejemplo, pensemos en una herramienta inofensiva llamada «Obtener el tiempo» que se modificó para exigir el resultado de una consulta al CRM antes de ejecutarse. El modelo siguió esa instrucción, extrajo datos del CRM y los pasó al contexto de ejecución de la herramienta meteorológica. Para exfiltrar el registro del CRM, bastó con añadir una línea de código que enviaba los datos recopilados a un endpoint público. El usuario siguió recibiendo una respuesta meteorológica normal, mientras que los datos confidenciales de la operación se enviaban discretamente fuera de la organización.
Ese ataque no necesitó ningún jailbreak ni técnicas de hacking complejas. Bastó con un pequeño cambio en una herramienta y unas breves instrucciones en lenguaje natural. Además, como muchos paquetes MCP se instalan o actualizan mediante comandos prácticos como npx o etiquetas «latest», el código comprometido puede llegar automáticamente al iniciar un cliente.
Por qué los controles tradicionales suelen pasarlo por alto
La mayoría de las herramientas de seguridad están diseñadas para proteger las API, aplicar controles de identidad y supervisar los límites de la red. Los ataques MCP aprovechan una dimensión diferente: la forma en que el modelo selecciona y encadena herramientas. Los servidores MCP locales pueden ejecutar código arbitrario, y el modelo puede encadenar herramientas de formas que resultan invisibles para una supervisión centrada únicamente en las API.
En pocas palabras, estos ataques parecen acciones legítimas de los usuarios. Utilizan credenciales legítimas para realizar llamadas legítimas. Esto dificulta su detección y atribución con las herramientas actuales.
Por qué este riesgo está aumentando
MCP está dejando de limitarse a los flujos de trabajo exclusivos para desarrolladores. Los proveedores de SaaS y los equipos de producto están ofreciendo automatizaciones basadas en agentes como «herramientas», «agentes» o «automatizaciones», con procesos que permiten añadirlas con un solo clic. Los usuarios sin conocimientos técnicos pueden habilitar estas funciones sin comprender las implicaciones de seguridad. Esto significa que los ataques a la cadena de suministro o a las propias herramientas pueden ir más allá de los equipos de ingeniería y afectar a los usuarios de productos de toda la empresa.
También estamos viendo registros y catálogos seleccionados que presentan servicios MCP de terceros como componentes «de confianza». Esas listas pueden extraerse o rellenarse a partir de repositorios públicos, y un distintivo no garantiza que sean seguros.
Consecuencias prácticas
Una explotación exitosa de MCP puede provocar diversos efectos perjudiciales. Puede exfiltrar silenciosamente registros de clientes. Puede obtener credenciales temporales o tokens y utilizarlos en llamadas posteriores. Puede desencadenar acciones destructivas o combinar pequeñas acciones en una cadena de mayor alcance y coste. Es importante destacar que estos comportamientos pueden producirse mientras el usuario cree estar realizando tareas rutinarias y de bajo riesgo.
Qué hacer a continuación
Bloquear MCP por completo no es una opción viable para la mayoría de las organizaciones. MCP aporta un valor real, y eliminar el acceso solo empuja a los usuarios hacia una IA en la sombra y soluciones alternativas no autorizadas. La vía práctica para avanzar consiste en obtener visibilidad sobre qué recursos de MCP se utilizan, clasificar esas herramientas y aplicar políticas y controles en tiempo de ejecución en los límites del modelo.
Solicita una demostración de F5 Workforce AI Security, anteriormente denominado SurepathAI, para combinar la detección, la clasificación y la aplicación de políticas, de modo que tus empleados puedan seguir siendo productivos mientras se impiden las acciones de riesgo.
Sobre el autor
Artículos relacionados del blog
IA agéntica en ciberseguridad: promesas y riesgos
Descubre por qué el uso de la IA agéntica en ciberseguridad es esencial para combatir las amenazas impulsadas por IA y por qué los agentes también generan nuevos riesgos empresariales.
Cómo los clientes de F5 del sector financiero abordan la soberanía digital sin frenar la innovación
¿Cómo se materializa la soberanía digital en el mundo real? Dos proyectos recientes de F5 con clientes muestran cómo distintas empresas están afrontando estos retos.
Soberanía operativa: cómo desarrollar resiliencia en un mundo impredecible
Para muchas organizaciones, la cuestión ya no consiste únicamente en controlar los datos, sino en mantener la capacidad de operar, adaptarse y recuperarse a medida que evolucionan las leyes y las circunstancias.
No se puede proteger una conversación con un cortafuegos: cómo el red teaming de IA se volvió esencial
Dado que las implementaciones de IA avanzan a la velocidad de las máquinas, los métodos tradicionales de prueba de software ya no resultan adecuados.
Protege tu canalización de datos de IA sin ralentizarla
Proteger el flujo de datos de la IA no es opcional. Eso está claro. Lo que resulta mucho menos evidente —y mucho más difícil— es cómo protegerlo adecuadamente.
Las extranets no están muertas; solo necesitan una actualización
Modernice su extranet: descubra cómo F5 y Equinix ofrecen una conectividad para partners repetible, segura y escalable, sin la complejidad de las redes tradicionales.