Gobierno de servidores MCP: los controles que mantienen seguro el acceso de la IA a las herramientas
El Model Context Protocol (MCP) se ha convertido rápidamente en la forma estándar de dar capacidad real a los agentes de IA, conectándolos con archivos, bases de datos, API y acciones a través de servidores MCP. Esa capacidad es el objetivo, y también el riesgo: un servidor MCP da a un sistema de IA la capacidad de leer y hacer cosas en tu entorno, y el agente que lo llama puede ser manipulado. El «gobierno de MCP» es el conjunto de controles que mantienen acotado ese poder. Esta es la línea base.
Por qué MCP necesita gobierno
Un servidor MCP es una concesión de acceso. Todas las herramientas y los datos que expone puede usarlos el agente, y un agente que procesa contenido no fiable puede ser dirigido mediante inyección de prompts para usar ese acceso de formas que nunca pretendiste. Los modos de fallo son: servidores con privilegios excesivos que exponen más de lo necesario, servidores sin revisar o maliciosos, credenciales filtradas y acciones sin registrar que no puedes detectar ni auditar. El gobierno aborda cada uno.
Los controles básicos
- Lista de servidores aprobados. Los agentes de producción solo se conectan a servidores MCP revisados y aprobados. Un servidor desconocido no está permitido por defecto.
- Mínimo privilegio. Cada servidor expone solo las herramientas y los datos concretos que un agente necesita de verdad: de solo lectura cuando sea posible, ámbitos de datos estrechos y ningún acceso general.
- Autenticación y secretos. Las credenciales de los servidores son robustas, se rotan y se tratan como secretos: nunca se incrustan en prompts ni en código del lado del cliente.
- Aprobación humana para las acciones de alto impacto. Las acciones irreversibles o sensibles (borrar datos, enviar mensajes externos, mover dinero) requieren un humano en el bucle, para que un agente secuestrado no pueda ejecutarlas por sí solo.
- Registrar cada llamada a herramienta. Registros completos y revisables de qué agente llamó a qué herramienta y con qué argumentos: la base de la detección y la auditoría.
- Revisión y control de cambios. Añadir o actualizar un servidor MCP es un cambio que amplía la superficie de ataque y pasa por revisión, no una acción silenciosa de un desarrollador.
La pregunta que todos acaban haciéndose
«¿Qué revisión de seguridad necesita una herramienta de un tercero antes de que le demos acceso a nuestros datos a través de un agente?». La respuesta son los seis controles anteriores aplicados a ese servidor concreto: ¿está en la lista de aprobados, tiene el mínimo privilegio, está autenticado, se registra, tiene puertas para las acciones de alto impacto y se ha revisado? Si no puedes responder que sí a cada uno, no está listo para el acceso de agentes en producción.
Evalúa un servidor concreto con la herramienta de riesgo de servidores MCP →, escanea un servidor en ejecución en busca de herramientas de riesgo y exposición con el escáner de seguridad de servidores MCP →, aplica políticas a escala con MCP Guard y lee el marco en gobierno de MCP según OWASP.
Preguntas frecuentes
¿Qué es un servidor MCP y por qué gobernarlo? Expone herramientas, datos y acciones a los que puede llamar un agente de IA: capacidad real en tu entorno que un agente con privilegios excesivos o secuestrado puede usar de forma indebida.
¿Cuáles son los controles básicos? Lista de aprobados, mínimo privilegio, autenticación y secretos, aprobación humana para las acciones de alto impacto, registro completo y revisión de cambios.
¿Qué relación tiene con la inyección de prompts? Las instrucciones inyectadas en contenido no fiable pueden dirigir a un agente para que use mal su acceso MCP, algo que contienen el mínimo privilegio y la aprobación humana.
¿Cómo empezamos? Haz inventario de los servidores, aprueba los revisados, reduce al mínimo privilegio, protege las credenciales, registra las llamadas a herramientas y pon puertas a las acciones destructivas.
Preguntas frecuentes
¿Qué es un servidor MCP y por qué necesita gobierno?
Un servidor MCP (Model Context Protocol) expone herramientas, datos o acciones a los que puede llamar un agente de IA: por ejemplo, leer un repositorio, consultar una base de datos o enviar un mensaje. Necesita gobierno porque da a un sistema de IA capacidad real en tu entorno: un servidor MCP con privilegios excesivos, mal configurado o malicioso puede exponer datos o ejecutar acciones mucho más allá de lo previsto, y la IA que lo llama puede ser dirigida mediante inyección de prompts para usarlo de forma indebida.
¿Cuáles son los controles básicos de gobierno de MCP?
Una lista de servidores aprobados (no se ejecuta nada que no se haya revisado); el mínimo privilegio, para que cada servidor exponga solo las herramientas y los datos realmente necesarios; una autenticación sólida y una gestión adecuada de los secretos de las credenciales de los servidores; la aprobación de un humano en el bucle para las acciones de alto impacto o irreversibles; el registro completo de cada llamada a herramienta para la detección y la auditoría; y un proceso formal de revisión y cambios antes de añadir o actualizar un servidor.
¿Qué relación tiene la inyección de prompts con el riesgo de MCP?
Si un agente procesa contenido no fiable (una página web, un documento, un correo) y ese contenido contiene instrucciones inyectadas, el agente puede ser dirigido para llamar a herramientas MCP de formas no previstas, exfiltrando datos o ejecutando acciones dañinas con el mismo acceso que le concediste. Por eso importan el mínimo privilegio y la aprobación humana de las acciones de alto impacto: limitan lo que un agente secuestrado puede hacer de verdad a través de sus servidores MCP.
¿Cómo empezamos a gobernar MCP en nuestra organización?
Haz inventario de los servidores MCP en uso (incluidos los que los desarrolladores han añadido en local), exige que solo se conecten a los agentes de producción servidores aprobados y revisados, reduce cada uno al mínimo privilegio, asegúrate de que las credenciales se tratan como secretos, activa el registro de las llamadas a herramientas y exige la aprobación humana de las acciones destructivas o sensibles. Trata un servidor MCP nuevo o actualizado como cualquier otro cambio que amplía tu superficie de ataque.