Guía MCP de la NSA: endurecer el Model Context Protocol

What is this?

El 20 de mayo de 2026, el Artificial Intelligence Security Center de la NSA publicó una Cybersecurity Information Sheet titulada Model Context Protocol (MCP): Security Design Considerations for AI-Driven Automation. Es la primera guía emitida por una agencia nacional de inteligencia de señales dedicada específicamente al protocolo que hoy conecta la mayoría de los despliegues de IA agéntica, y llega tras la acumulación de incidentes relacionados con MCP durante el primer semestre. El documento no es una divulgación de vulnerabilidad. Es una evaluación a nivel de diseño: un inventario de las debilidades estructurales que vuelven frágiles los despliegues de MCP, seguido de recomendaciones concretas para los equipos que operan el protocolo en producción o en entornos sensibles.

MCP es un protocolo de nivel de aplicación que da a los sistemas de IA un patrón de mensajería y un formato de transporte comunes para gestionar las interacciones entre servicios. La NSA señala que la adopción real ha superado la madurez de su modelo de seguridad, extendiéndose a productos de los sectores empresarial, financiero, jurídico y de desarrollo de software, incluidos flujos de trabajo que consultan datos personales.

How it works

La observación central es que MCP invierte la relación cliente-servidor habitual. En lugar de que un cliente se limite a solicitar datos, se puede pedir a un servidor MCP que consulte sistemas y, en ciertas configuraciones, ejecute acciones en nombre del cliente conectado. Esa inversión abre vías de ataque que las defensas de endpoint tradicionales nunca se diseñaron para rastrear.

La guía agrupa las preocupaciones en unos pocos temas recurrentes. La serialización es abierta, de modo que contenido estructurado no confiable puede introducir instrucciones inesperadas. Las fronteras de confianza son implícitas en lugar de impuestas: un agente tiende a tratar como autoritativo todo lo que devuelve una herramienta. La invocación de herramientas es dinámica, por lo que el conjunto de capacidades disponibles para un modelo puede cambiar en tiempo de ejecución, a veces desde fuentes descubiertas sobre la marcha. A ello se suman las carencias operativas señaladas de forma constante en el ecosistema: controles de acceso débiles, atajos en el ciclo de vida de los tokens y en los flujos de aprobación, comportamientos de implementación inconsistentes entre servidores y un registro de auditoría demasiado escaso para dar cuenta de las invocaciones.

El punto esencial de la NSA es que no son fallos de interfaz que se corrijan uno a uno. La agencia describe el entorno agéntico como un continuo en el que una suposición desalineada en cualquier etapa puede propagarse y componerse en una condición explotable más adelante. Una descripción de herramienta considerada fiable en el descubrimiento, un token dimensionado con demasiada amplitud en la emisión y una acción no registrada en la ejecución son individualmente menores, pero juntos forman una ruta de compromiso.

Why it matters

MCP se ha convertido en la fontanería por defecto de los asistentes de código, los copilotos empresariales y los agentes autónomos, y buena parte de ese despliegue ocurrió más rápido de lo que su modelo de seguridad pudo madurar. La guía importa porque reencuadra el riesgo de MCP como sistémico y no incidental: la autenticación, la autorización y la validación de entradas siguen siendo necesarias, pero la NSA afirma de forma explícita que las estrategias de ciberdefensa establecidas no bastan, por sí solas, para abordar la invocación dinámica de herramientas, la confianza implícita y el uso compartido de contexto. Para los responsables de seguridad, se deduce que «autenticamos nuestra API» ya no es una respuesta suficiente para un despliegue de MCP. Para los ingenieros, es un recordatorio: la disposición de un agente a actuar sobre la salida de una herramienta es en sí misma una superficie de ataque.

Defenses

La information sheet se lee, con provecho, como una lista de verificación. Extraídas de sus recomendaciones, las prioridades para quien opere MCP en producción son:

• Elegir implementaciones mantenidas. Prefiera proyectos MCP con soporte y audite el código de los servidores que ejecuta, en lugar de confiar en conectores comunitarios arbitrarios.
• Definir explícitamente las fronteras de confianza. Decida qué servidores y herramientas son de confianza y deje de tratar por defecto la salida de una herramienta como una instrucción autoritativa.
• Validar parámetros y aislar la ejecución. Restrinja las entradas de las herramientas y ejecútelas en un entorno aislado para que una llamada comprometida no alcance el host.
• Firmar y verificar los mensajes. Exija procedencia para los mensajes y para cualquier servidor descubierto dinámicamente, de modo que un agente no adopte en silencio una herramienta que no puede atribuir.
• Filtrar las salidas encadenadas. Trate la salida de una herramienta como entrada no confiable de la siguiente, rompiendo la propagación contra la que advierte la guía.
• Aplicar tokens de mínimo privilegio. Dimensione las credenciales por acción y por herramienta, y gestione su ciclo de vida en lugar de emitir concesiones amplias y duraderas.
• Registrar cada invocación. Registre todas las llamadas a herramientas y modelos para que las acciones sean auditables a posteriori.
• Buscar servidores no autorizados. Rastree su red en busca de endpoints MCP abiertos o no autorizados que hayan aparecido fuera de gobernanza.

Conviene retener el encuadre general: endurecer el continuo, no solo los endpoints, y aprovechar las lecciones de los ecosistemas previos de plugins y sistemas distribuidos en lugar de volver a aprenderlas.

Status

Elemento	Detalle
Emisor	NSA Artificial Intelligence Security Center (AISC)
Documento	CSI — Model Context Protocol (MCP): Security Design Considerations for AI-Driven Automation
Publicación	20 de mayo de 2026
Tipo	Guía de diseño / recomendaciones de endurecimiento (no es una divulgación de vulnerabilidad)
Alcance	Despliegues de IA agéntica basados en MCP, de todos los proveedores

Este texto resume una guía gubernamental hecha pública. Consulte la information sheet completa para el conjunto íntegro de consideraciones y recomendaciones antes de aplicarlas a su entorno.