PUBLICADO EL 9 DE OCTUBRE DE 2026
El protocolo que conecta agentes de IA tiene un fallo estructural que ninguna empresa puede parchear sola — Google, JP Morgan y el gobierno francés ya tuvieron que corregirlo
El Model Context Protocol (MCP), el estándar que usan los agentes de IA para delegarse tareas dentro de una red empresarial, tiene un fallo de diseño que permite propagar instrucciones maliciosas de un agente a otro sin que ninguno lo detecte. Un investigador independiente documentó ataques funcionales contra agentes de Google, JP Morgan Chase, Weaviate, Rapid7 y el gobierno de Francia, que ya corrigieron el problema; varios sistemas del gobierno federal de los EE.UU. permanecían sin parchear.
Qué es el MCP y por qué importa
El Model Context Protocol (MCP) es el protocolo que usan hoy los agentes de IA para comunicarse dentro de una red empresarial. Cuando el agente de traducción de una empresa le pasa un documento al agente de análisis de datos, lo hace por MCP. Cuando el agente de soporte escala un ticket al agente de base de conocimiento, también usa MCP.
La adopción fue masiva: en los últimos meses, un número creciente de organizaciones incorporó agentes especializados para automatizar tareas internas. El problema es que MCP fue diseñado priorizando la interoperabilidad, no la desconfianza entre nodos.
El ataque: "protocol pivoting"
El investigador independiente Syed Anas Mohiuddin documentó una técnica que llama protocol pivoting: plantar texto malicioso en contenido que un agente va a procesar (un correo, un documento, una respuesta de base de datos). El agente lo lee y lo pasa al siguiente como si fuera una instrucción legítima. El segundo agente la ejecuta porque confía en el primero.
El resultado puede ser cualquier cosa que ese segundo agente tenga permiso de hacer: exfiltrar registros de base de datos, leer credenciales internas, o hacer solicitudes HTTP a endpoints internos (Server-Side Request Forgery).
"Los agentes de IA le dan a los atacantes un nuevo conjunto de conexiones para cruzar", explicó Douglas McKee, director de inteligencia de vulnerabilidades en Rapid7. "Alguien planta texto en contenido, el agente lo lee y lo pasa al siguiente como una tarea delegada normal, y ese segundo agente lo ejecuta porque confía en quien se lo entregó. Cada pieza hizo exactamente lo que fue diseñada para hacer — y eso es lo que hace que sea tan difícil de detectar."
Los afectados
Mohiuddin probó agentes de Google, JP Morgan Chase, Weaviate, Rapid7, la dirección digital del gobierno francés (DINUM) y el gobierno municipal de Tangerang, en Indonesia. Todos presentaron variantes del mismo problema y ya lo corrigieron. El investigador también reportó de forma privada la misma clase de falla en varios sistemas del gobierno federal de los EE.UU. —entre ellos los de Asuntos de Veteranos y el portal regulations.gov—, que hasta la fecha seguían sin parchear.
La vulnerabilidad en Google (CVE-2026-14540) afectaba a su mcp-toolbox para bases de datos y tenía severidad 8.0, alta, en la escala CVSS. El cliente HTTP del toolbox no aplicaba ninguna política de validación de redirecciones ni verificaba las IPs de destino: un parámetro de ruta construido por el atacante podía hacer que el servidor siguiera una redirección hacia un endpoint interno y ejecutara solicitudes en su nombre.
Google corrigió el problema aplicando una lista de rangos IP permitidos y rechazando URLs inseguras al inicio, no al primer uso. Rapid7 corrigió una vulnerabilidad catalogada como CVE-2026-97228 (severidad 2.7) el mes pasado.
Por qué no alcanza con parchear
El punto central del análisis de Mohiuddin es que este no es un bug en una implementación específica: es un problema de diseño del protocolo. MCP asume que todos los agentes dentro de una red son confiables entre sí. Cuando esa suposición falla, la protección de un agente bien configurado no protege a los que están aguas abajo en la cadena.
Muchos agentes especializados no tienen guardrails propios porque fueron diseñados para recibir instrucciones de otros agentes, no de usuarios humanos. La distinción entre "instrucción legítima delegada" e "instrucción inyectada" no existe en el protocolo.
Qué hacer si ya corrés agentes en tus servidores
Si tu infraestructura ya usa agentes de IA o está evaluando incorporarlos, hay dos medidas mínimas:
- Principio de menor privilegio: cada agente debe tener acceso solo a los recursos que necesita para su tarea, no a todo lo que el servidor le permita técnicamente.
- Validación explícita de destinos de red: cualquier agente que haga solicitudes HTTP debe validar las IPs y URLs de destino por cuenta propia, sin delegar esa validación al protocolo subyacente.
El MCP va a seguir adoptándose. La superficie de ataque va a crecer con él. Para quienes ya están autohospedando modelos o implementando agentes en servidores VPS o dedicados, entender este vector antes de que llegue a su infraestructura es la ventaja que marca la diferencia.