El Protocolo de Contexto Modelo (MCP) surgió como un estándar revolucionario en noviembre de 2024, diseñado por Anthropic para conectar de manera fluida asistentes de IA con sistemas externos y fuentes de datos. Esta innovación permite que los Modelos de Lenguaje Grande (LLMs) interactúen con herramientas y repositorios, mejorando significativamente su utilidad en entornos empresariales complejos. 

El Protocolo de Contexto de Modelo (MCP) surgió como un estándar revolucionario en noviembre de 2024, diseñado por Anthropic para conectar de manera fluida asistentes de IA con sistemas externos y fuentes de datos.

Esta innovación permite a los Modelos de Lenguaje Grande (LLMs) interactuar con herramientas y repositorios, mejorando significativamente su utilidad en entornos empresariales complejos. Sin embargo, esta interoperabilidad introduce un riesgo de seguridad sustancial, creando una nueva oportunidad de "máquina en el medio" para que los ciberdelincuentes intercepten, monitoreen y manipulen estas interacciones.

El núcleo de esta vulnerabilidad reside en la arquitectura de los servidores MCP, que funcionan como el puente entre el agente de IA y la infraestructura objetivo.

Los atacantes pueden explotar estos servidores para obtener acceso no autorizado, independientemente de si los servidores están alojados localmente en la estación de trabajo de un usuario o gestionados por proveedores externos de SaaS.

Esta vía de explotación abre la puerta para que actores maliciosos se infiltren en entornos seguros sin activar las alarmas de seguridad tradicionales.

Analistas de Praetorian identificaron estas brechas de seguridad críticas durante su evaluación exhaustiva del ecosistema MCP en febrero de 2026.

Utilizando una herramienta de validación personalizada llamada MCPHammer, los investigadores demostraron que estas amenazas no son teóricas, sino prácticas, afectando a múltiples modelos y agentes.

Sus hallazgos destacan que los atacantes pueden armar esta capa de conexión para realizar acciones que comprometan la integridad tanto del dispositivo del usuario como de la red empresarial más amplia.

El impacto de tales ataques es de gran alcance, permitiendo a los adversarios ejecutar código arbitrario con los privilegios del usuario y exfiltrar datos locales sensibles, incluyendo credenciales y archivos.

Además, los servidores MCP maliciosos pueden instalar silenciosamente mecanismos de persistencia o envenenar las respuestas de la IA, manipulando efectivamente el comportamiento del usuario. Estas actividades suelen ocurrir sin ninguna indicación visual, dejando a la víctima completamente ajena a que se ha producido una brecha.

A medida que las organizaciones se apresuran a adoptar flujos de trabajo impulsados por IA, la dependencia de estos protocolos de integración se acelera, a menudo sin una supervisión de seguridad adecuada.

Esto crea una superficie de ataque "oculta" donde herramientas legítimas se encadenan con otras maliciosas, otorgando a los atacantes una vía sigilosa hacia los sistemas corporativos. Entender estos riesgos es ahora esencial para mantener una postura de seguridad robusta en un mundo habilitado por IA.

Vulnerabilidades en la cadena de suministro en las configuraciones

Un aspecto particularmente alarmante de esta amenaza involucra ataques a la cadena de suministro dirigidos a las configuraciones del gestor de paquetes utilizadas para implementar estos servidores.

El ecosistema depende en gran medida de uvx para ejecutar servidores basados en Python, que descarga dinámicamente paquetes especificados en un archivo de configuración. Este mecanismo crea una vulnerabilidad significativa incluso antes de que se invoque una herramienta específica por parte del usuario.

Los atacantes pueden explotar esto registrando nombres de paquetes similares a los legítimos populares, una táctica conocida como typosquatting.

Si un usuario copia una configuración con un pequeño error, el sistema descarga e ejecuta inadvertidamente el código del atacante al iniciar.

Además, si un paquete legítimo es comprometido o un nombre de paquete eliminado es registrado nuevamente por un actor malicioso, las configuraciones desactualizadas descargarán automáticamente la versión maliciosa.

Esto resulta en un vector de ataque de cero clics donde la ejecución de código ocurre inmediatamente cuando el agente se inicia, evitando cualquier solicitud de aprobación de herramientas que de otro modo podrían proteger al usuario.

Para mitigar estos riesgos, las organizaciones deben implementar procesos de revisión estrictos para todas las instalaciones de servidores MCP y tratarlos como código potencialmente adversario.

Los equipos de seguridad deben auditar los permisos de las herramientas para minimizar las configuraciones de "permitir siempre" y monitorear flujos de datos inusuales entre servicios conectados. Finalmente, educar a los usuarios sobre los peligros de las llamadas encadenadas de herramientas es vital para prevenir estas intrusiones silenciosas.