El Model Context Protocol decide en tiempo de ejecución qué herramienta invoca su agente de IA, a partir de las descripciones de herramientas y de los contenidos recuperados. Con ello, la frontera de confianza se desplaza a un lugar que los modelos de amenazas clásicos no representan. Modelamos su entorno MCP de forma sistemática: con STRIDE como punto de entrada, MAESTRO para la localización arquitectónica y los OWASP MCP Top 10 como catálogo de riesgos.
MCP no incorpora deliberadamente mecanismos de seguridad propios: la especificación da por supuesto que desarrollo y seguridad impongan por sí mismos los controles habituales. Al mismo tiempo, un agente MCP se comporta de forma distinta a cualquier aplicación clásica: no es determinista, decide de forma autónoma sobre las llamadas a herramientas y trata los contenidos devueltos, de hecho, como instrucciones. Un modelo de amenazas que solo observa los flujos de datos entre componentes pasa por alto precisamente las rutas de ataque que se explotan en la práctica, desde descripciones de herramientas manipuladas hasta servidores que socavan el propio modelo de confianza.
La ausencia de seguridad integrada en MCP no es un defecto, sino que subraya la expectativa de que los desarrolladores implementen las buenas prácticas de seguridad habituales.
Red Canary (A Zscaler Company), Jesse Griggs, 2025
Ningún framework describe por sí solo un entorno MCP en su totalidad. Combinamos tres: cada uno responde a una pregunta distinta.
¿Qué puede salir mal?
Seis categorías atemporales: Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege. Rápidas, comprensibles y compatibles con cualquier organización de seguridad existente. El punto de entrada que involucra de inmediato a su equipo.
¿Dónde se sitúa exactamente la amenaza?
El framework de threat modeling agéntico de la Cloud Security Alliance asigna las amenazas a siete capas de arquitectura, desde el modelo de lenguaje hasta el ecosistema de agentes, y hace visibles las cadenas de ataque que cruzan las fronteras entre capas. MCP vive en la capa 3.
¿Qué riesgos concretos?
Diez riesgos MCP documentados: desde la mala gestión de Tokens hasta el Tool Poisoning y el Context Over-Sharing. Aportan la referencia práctica y un lenguaje común con desarrollo, auditoría interna y auditores.
Esta combinación no es una construcción propia: la OWASP Agentic Security Initiative califica explícitamente a MAESTRO como una extensión integral de STRIDE para sistemas agénticos. Las tres perspectivas no se contradicen: se superponen.
Siete capas, siete perfiles de amenaza. La asignación sigue el OWASP Multi-Agentic System Threat Modeling Guide, cuyo responsable de threat modeling es el propio autor de MAESTRO.
Tool Poisoning mediante descripciones manipuladas, suplantación del cliente con credenciales robadas, implementaciones JSON-RPC y de streaming inseguras, discrepancias de esquema entre cliente y servidor, influencia mutua de varios clientes en un mismo servidor.
Prompt Injection como entrada adversaria, alucinaciones en cascada a lo largo de varias llamadas a herramientas, ejecución de código inesperada, envenenamiento de la memoria del agente.
Exfiltración desde bases de datos vectoriales y pipelines RAG a través de servidores MCP conectados, deriva semántica en las fuentes de datos vinculadas, contenidos de retrieval manipulados que se leen como instrucciones.
Agotamiento de recursos por llamadas a herramientas costosas, cuentas de servicio y claves de larga duración expuestas, servidores MCP accesibles desde la red de forma involuntaria, debilidades de contenedores y orquestación.
Falta de trazabilidad y posible repudio de las acciones del agente, registro insuficiente en el servidor MCP, logs manipulados o borrados de forma selectiva: el punto ciego de cualquier análisis forense posterior.
Privilege Escalation mediante Tokens emitidos con un alcance demasiado amplio, falta de aislamiento de los permisos del servidor e incumplimientos del Least Privilege, vulneraciones de residencia de datos y de compliance derivadas de la elección del servidor.
Servidores MCP maliciosos que se presentan como legítimos y atacan así el propio modelo de confianza, Rogue Agents en federaciones multiagente, envenenamiento de la comunicación entre agentes, registries y tool discovery manipulados.
Las denominaciones de amenazas siguen la taxonomía de OWASP para sistemas agénticos; la estructura de capas, la arquitectura de referencia MAESTRO de la Cloud Security Alliance. La capa 6 está definida como capa transversal a todas las demás.
Para que su equipo no tenga que reaprender nada: las seis categorías conocidas, cada una con el escenario de ataque MCP concreto y la entrada correspondiente de los OWASP MCP Top 10.
Los agentes no tienen de por sí una identidad propia. La suplantación de cliente y de servidor, así como las credenciales robadas, apenas se distinguen del tráfico legítimo.
MCP01 · MCP09Tool Poisoning: lo que la persona lee en la interfaz no es necesariamente lo que el modelo recibe como descripción, y en función de lo cual actúa.
MCP03Sin identificadores integrados, el agente accede a los sistemas como un usuario normal. Sin una instrumentación específica, después falta la atribución.
MCP08La falta de aislamiento mezcla fuentes confidenciales y públicas en el mismo contexto; secretos y claves de larga duración acaban en contextos de agentes.
MCP10Un modelo con una herramienta de consulta sin límites genera consultas costosas y picos de carga: la interrupción proviene de su propio agente, no del exterior.
MCP05Confused Deputy y Tokens emitidos con un alcance demasiado amplio: el agente hereda permisos que nunca correspondieron a la tarea real.
MCP02 · MCP07MCP01–MCP10 remiten al OWASP Top 10 for Model Context Protocol (v0.1, Beta: proyecto en fase piloto).
El valor añadido de un modelo por capas está justamente donde los ataques cambian de capa. Por eso el análisis cross-layer es para nosotros un paso de trabajo propio, no una nota al pie.
Cadena de ejemplo de la documentación de MAESTRO: una brecha en la infraestructura de contenedores da acceso a una instancia de agente en ejecución, a través de la cual se envenenan los datos en memoria; la siguiente actualización del modelo consolida la manipulación de forma permanente.
No una batalla de diapositivas, sino artefactos con los que arquitectura, operación y auditoría interna pueden seguir trabajando.
Su entorno MCP documentado: hosts, clientes, servidores conectados, herramientas, recursos y vías de transporte, con las fronteras de confianza marcadas de forma explícita. La base de cualquier discusión posterior.
Amenazas a lo largo de las siete capas de MAESTRO, cada una con su categoría STRIDE, su ruta de ataque y su referencia a los OWASP MCP Top 10: demostrado en lugar de afirmado.
Las rutas que cambian de capa, modeladas como escenarios de extremo a extremo, incluido el punto en el que la cadena se interrumpe con el menor coste.
Cada amenaza valorada según probabilidad de ocurrencia e impacto, ajustada a su metodología de riesgos, de modo que el orden de las medidas esté fundamentado y no haya que discutirlo.
Controles concretos por capa: herramientas acotadas en lugar de consultas sin límites, Least Privilege por herramienta, Tokens de corta duración y vinculados a una audiencia, telemetría, y dónde un MCP-Gateway funciona como punto de control obligatorio.
El modelo preparado de forma que pueda utilizarse como evidencia para ISO 27001, ISO/IEC 42001, EU AI Act, NIS2, DORA o CRA: un análisis, aprovechable varias veces.
Seis pasos según la metodología MAESTRO: como formato de taller o de forma continua en el ciclo de desarrollo.
Levantamos su entorno MCP y lo descomponemos a lo largo de las siete capas: qué hosts y clientes existen, qué servidores están conectados, qué herramientas hay, qué datos y permisos dependen de ellas y por dónde pasa cada frontera de confianza.
Para cada capa identificamos las clases de ataque relevantes. STRIDE sirve de lista de comprobación para que no se escape ninguna categoría; los OWASP MCP Top 10 aportan la referencia práctica documentada.
Modelamos cadenas que cambian de capa (Supply Chain, Lateral Movement, Privilege Escalation, Data Leakage y cascadas de Goal Misalignment) e identificamos los puntos de ruptura más eficaces.
Valoración según probabilidad de ocurrencia e impacto, integrada en su metodología de riesgos existente. El resultado es una priorización fundamentada, no una lista de deseos.
Controles por capa más las medidas específicas de IA que el endurecimiento clásico no cubre. Indicamos de forma explícita qué riesgos deben resolverse a nivel de arquitectura y cuáles se solucionan con configuración.
Un modelo de amenazas que se crea una vez y luego envejece no tiene valor. Anclamos telemetría y puntos de repetición para que el modelo crezca con cada nuevo servidor y cada release; si lo desea, con threat modeling automatizado en CI/CD.
El threat modeling no es una tarea de mero trámite: aporta la evidencia que varios marcos normativos le exigen de todos modos.
Gestión basada en riesgos, control de acceso, Least Privilege y registro: demostrados en el sistema concreto y no solo en la política.
Evidencia de que los riesgos del sistema de gestión de IA se determinan y tratan de forma sistemática, incluido el comportamiento de los agentes.
Base para la gestión de riesgos y la documentación técnica cuando sus agentes operan en casos de uso regulados.
Gestión de riesgos y seguridad de la cadena de suministro: los servidores MCP conectados forman parte de su Supply Chain digital.
Gestión del riesgo de TIC y del riesgo de terceros en el sector financiero, aplicada con rigor a la arquitectura de agentes.
Si distribuye servidores MCP o funciones agénticas: el análisis de amenazas como parte de la documentación de seguridad exigida.
En una primera conversación de 30 minutos aclaramos cuántos servidores MCP están realmente conectados en su organización, por dónde pasan las fronteras de confianza y si encaja mejor un formato de taller o un modelado de acompañamiento.
