El límite de confianza del agente
Un mapa de cómo los agentes de IA basados en MCP heredan la confianza de las cadenas de suministro, los protocolos y las herramientas, y qué mecanismos de contención reducen realmente el alcance del daño.
El informe completo
Los agentes de IA heredan la confianza de muchos lugares a la vez: el proveedor del modelo, el framework, los servidores MCP, cada dependencia de npm/pypi, cada manifiesto de herramientas. Cuando falla cualquiera de estas capas, el agente actúa según la intención del atacante. El límite de confianza dejó de ser un muro y se convirtió en un grafo.
La cadena de suministro como superficie de ataque#
Los paquetes de código abierto ya forman parte de casi todas las rutas de ejecución de los agentes. Una sola dependencia comprometida se convierte en una acción autorizada dentro de un flujo de trabajo dirigido por un LLM, porque el agente trata el paquete como trata su propio entorno de ejecución: con plena confianza.
Mini Shai-Hulud#
Comenzó el 2026-04-29 con 4 paquetes de SAP CAP y se propagó a 160+ paquetes de npm en cuestión de semanas. Lee tokens de AWS, Azure, GCP y Kubernetes y, en particular, los archivos de configuración de MCP y Claude, directamente desde /proc/{pid}/mem en los equipos donde se realiza la instalación.
Starlette CVE-2026-48710#
Fallo revelado por BadHost en Starlette ≤1.0.0, con 325M descargas semanales. Afecta a FastAPI, vLLM, LiteLLM y la mayoría de los servidores MCP de Python. Una sola dependencia transitiva en una pila tecnológica popular para agentes hace que la misma vulnerabilidad esté en todas partes a la vez.
La magnitud de los paquetes maliciosos#
Informe de Sonatype de 2026: 454,600 nuevos paquetes maliciosos catalogados en 2025, el 99% en npm, +75% interanual. La frecuencia de las dependencias contaminadas ya no representa un riesgo remoto: forma parte del costo de utilizar el ecosistema abierto.
Exposición a nivel de protocolo#
MCP cambió la forma en que las herramientas llegan a un modelo: en lugar de utilizar API estáticas y verificadas, los agentes ahora se conectan a servidores arbitrarios. El propio protocolo se convierte en una nueva superficie de exposición: transporte sin suficientes precauciones, autenticación débil por defecto e identidad ambigua del servidor.
Fallo de STDIO en el SDK de Anthropic#
Divulgación de OX Security (2026-04-15): unos 200,000 servidores MCP expuestos a través del transporte STDIO con supuestos de confianza por defecto. Anthropic clasificó el comportamiento como parte del diseño previsto, dejando el límite de seguridad en manos de quien lo despliega.
Mayor eficacia de la inyección#
arxiv:2601.17549 concluye que añadir herramientas MCP aumenta las tasas de éxito de los prompts adversariales en un 23-41% frente a las integraciones sin MCP. Cuanto más amplio es el conjunto de acciones del agente, más puede expresar el atacante en una sola instrucción inyectada.
Qué contiene realmente el daño#
La defensa pasa de lemas como 'no confíes en nada' a mecanismos concretos: aislamiento de capacidades, secretos de alcance limitado, manifiestos de herramientas firmados y cortafuegos de contenido entre la salida del modelo y la ejecución de herramientas. El objetivo es que una vulneración quede localizada y no se propague lateralmente.
Aislamiento de capacidades#
Cada servidor MCP recibe la capacidad más restringida posible: solo lectura por defecto, sin shell, sin salida a la red salvo que se declare. El modelo nunca tiene credenciales maestras; tiene un token gestionado por un intermediario y vinculado a una sola tarea.
Alcance limitado de los secretos#
Los tokens de servicios en la nube, Kubernetes y control de versiones nunca se guardan en archivos de configuración de MCP ni en variables de entorno compartidas con el modelo. Los intercambios OIDC de corta duración y los tokens específicos de cada herramienta hacen que las credenciales robadas sean menos útiles y más fáciles de revocar.
Manifiestos de herramientas firmados#
Los manifiestos de herramientas, los servidores MCP y las plantillas de prompts se firman y se fijan a versiones concretas. Incorporar un nuevo servidor MCP exige el mismo proceso de validación de confianza que adoptar una nueva dependencia de código, no un simple 'instalar y ejecutar'.
OWASP Agentic Top 10#
El top-10 de OWASP para agentes sistematiza los modos de fallo recurrentes: envenenamiento de herramientas, suplantación de identidad, envenenamiento de memoria y autonomía excesiva. Resulta útil no como lista de verificación, sino como vocabulario común para hablar de las amenazas contra los agentes entre equipos.
Responsabilidad compartida a cargo de quien despliega#
La interpretación de Backslash sobre la postura de Anthropic: tres de las cuatro capas, host, despliegue y ecosistema de herramientas, son responsabilidad de quien despliega el sistema, no del proveedor del modelo. Tratar la seguridad de MCP como un problema del proveedor es un error estructural.
El rechazo a la UX como señal paralela#
El aumento del 30% en las instalaciones de DuckDuckGo en mayo de 2026, con Brave gestionando 50M consultas diarias, sugiere que los usuarios también rechazan las interfaces de IA sin límites, un eco en el mercado de la crisis de confianza en el ámbito de la ingeniería en torno al comportamiento descontrolado de los agentes.
open_in_newstartupxo.com/ko/news/2026/05/ai-search-rejection-duckduckgo-momentumFuentes y contenido relacionado
¿Quieres llevarlo a la práctica?
Después de leer el informe, la siguiente pregunta suele ser cómo hacerlo realidad. Weple es un estudio de desarrollo externo que convierte estructuras como la de esta página en entregas pequeñas con un alcance definido. Incluye esta página en tu consulta.
Consultar sobre el desarrollo