Estado de la seguridad MCP 2026: la superficie de ataque de los agentes se convierte en un tema por derecho propio

El primer informe dedicado a la seguridad MCP cataloga una deuda que crece más rápido que el ecosistema en sí.

En términos sencillos

Un primer informe dedicado — « State of MCP Security 2026 » de Canopii — recopila las vulnerabilidades y malas prácticas del ecosistema Model Context Protocol. El mensaje es claro: la seguridad no ha seguido el ritmo de adopción.

El hecho

Publicado el 12 de julio de 2026 (PDF Canopii), el informe analiza servidores MCP públicos y privados, e identifica varias clases de debilidades: tokens/credenciales expuestos, ausencia de control de origen en el servidor, inyección de prompt mediante descripciones de herramientas, dependencias no fijadas (pinned) y gestión permisiva de scopes.

Análisis

MCP explotó en 2025-2026 porque resuelve un problema real: conectar LLMs con herramientas sin codificar N integraciones. Pero la velocidad de adopción ha pasado por alto la higiene. Tres patrones destacan:

1. Inyección por descripción de herramienta: el servidor MCP controla el texto que el LLM ve — puede insertar instrucciones ocultas que desvíen al agente. Clásico, conocido, pero con pocos resguardos en clientes de consumo masivo.
2. Credenciales de granularidad gruesa: muchos servidores piden un token OAuth con scopes demasiado amplios, reutilizados para todas las herramientas, sin rotación.
3. Confusión entre servidores: cuando un agente encadena 5 servidores MCP, ningún mecanismo estándar rastrea el origen de un resultado de herramienta. Un servidor comprometido puede alimentar a otro con instrucciones.

Bajo el capó

El informe estima (pendiente de auditorías externas) que ~40 % de los servidores MCP públicos analizados exponen al menos una clave secreta en su repositorio o configuración por defecto, y que ~65 % no implementan verificación de origen en las llamadas. Propone una lista de verificación de 12 puntos: fijación estricta de versiones, scopes mínimos, firma de descripciones de herramientas, registro de actividad bajo demanda y sandbox por servidor.

Escenarios

• Estandarización (50 %): Anthropic y OpenAI publican antes de Q4 2026 un perfil MCP «seguro por defecto» con verificación criptográfica de herramientas.
• Fragmentación (35 %): cada cliente implementa su propio endurecimiento; el ecosistema se divide en «MCP de consumo» y «MCP empresarial».
• Incidente mayor (15 %): una brecha visible fuerza a la industria a acelerar — escenario más probable para Q1 2027.

¿Y qué?

Para un CTO que despliega agentes: tratar MCP como código de terceros no auditado. Sandbox por servidor, scopes estrictos, revisión manual de descripciones de herramientas y monitoreo de salidas del agente. Para un inversor: la capa de seguridad MCP se convierte en un mercado real — esperen ver 2-3 startups especializadas levantar fondos en los próximos 6 meses.

A vigilar

Un perfil MCP endurecido publicado por Anthropic u OpenAI, un CVE público en un servidor MCP popular y la primera adquisición de una startup de seguridad MCP por un actor de ciberseguridad establecido.