Establezca una perspectiva de seguridad para cada llamada a una herramienta antes de añadir más herramientas. El Model Context Protocol (MCP) es un protocolo que permite a una aplicación de IA descubrir e invocar herramientas externas y servicios de datos. Un agente que utiliza herramientas es una aplicación de IA que selecciona una herramienta y proporciona sus argumentos para completar una tarea. Esta conexión mejora la utilidad, pero también convierte las descripciones de las herramientas, los argumentos de llamada, las credenciales y los datos devueltos en elementos críticos para la seguridad del sistema.
Para un equipo de desarrollo, la cuestión no es si el servidor MCP es remoto o local. La pregunta clave es qué identidad, permisos y evidencias se aplican cuando el agente activa una herramienta. Este curso le ayudará a gestionar esa frontera sin perder capacidad de auditoría ni control.
En Northbridge Health, el agente CareOps puede utilizar JiraMCP, DriveMCP y un KubeAdminMCP local. Una instrucción maliciosa puede introducirse a través de metadatos que parecen información habitual de la herramienta, influir en la selección del agente y llegar a un servicio ascendente (upstream) utilizando las credenciales del servidor MCP. El resultado visible puede ser una simple recuperación de archivos, mientras que la ruta de autorización subyacente supera los niveles de acceso del ingeniero que realizó la solicitud. Identifique dónde adquiere autoridad la solicitud y dónde desaparece la evidencia:
Simulación: cadena de ataque:
Los metadatos de la herramienta comprenden la descripción, el esquema de parámetros y las anotaciones que explican la herramienta al agente. Dado que el agente interpreta este contenido como contexto, un atacante que lo modifique podría intentar dirigir acciones en servidores conectados. La salida de la herramienta y el texto copiado de un ticket conllevan el mismo riesgo al integrarse en el contexto del agente.
Un servidor con credenciales de servicio de amplio alcance genera un segundo problema. El servicio ascendente (upstream) podría percibir la identidad del servidor en lugar de la del ingeniero que solicitó la acción. Se trata de un caso de representante confundido (confused deputy), en el que un componente utiliza su propia autoridad para procesar una solicitud que debería haber estado limitada por la autoridad de quien la originó. El registro del incidente ilustra cómo se combinan estas vulnerabilidades:
Simulación: nota interna sobre el incidente: