La reciente cumbre de desarrolladores del Model Context Protocol (MCP) en Seúl ha puesto de relieve una preocupación creciente: la tensión entre el diseño arquitectónico del protocolo y las vulnerabilidades del mundo real. Este evento, que tuvo lugar el 13 y 14 de agosto de 2026, no solo se convirtió en un espacio para debatir avances tecnológicos, sino que también abordó un panorama de riesgos que ha pasado de ser teórico a convertirse en una realidad que afecta directamente a la infraestructura de los agentes de inteligencia artificial.
Actualmente, más de 21,000 servidores MCP están expuestos a Internet, y cerca del 92% de los servidores de producción auditados carecen de autenticación básica de OAuth. Esta alarmante data se encuentra en un contexto marcado por un creciente catálogo de vulnerabilidades críticas (CVEs) y la formalización de la lista OWASP MCP Top 10. Estos elementos han elevado el nivel del debate, donde diseñadores de protocolos y la comunidad de seguridad coinciden por primera vez para analizar un paisaje de vulnerabilidades que amenaza la integridad de los sistemas impulsados por inteligencia artificial.
Las Divisiones Arquitectónicas
Un informe publicado en abril de 2026 por OX Security, titulado «La Madre de Todas las Cadenas de Suministro de IA», destacó una vulnerabilidad arquitectónica sistémica en el modelo de transporte STDIO del MCP. Este análisis reveló que 150 millones de descargas de paquetes podrían verse afectadas y se identificaron más de 7,000 servidores MCP accesibles públicamente, así como hasta 200,000 instancias vulnerables. A pesar de esto, Anthropic, uno de los cofundadores del protocolo, defiende que el comportamiento del STDIO es intencional y que la sanitización de datos es responsabilidad de los desarrolladores.
Esta postura ha encontrado resistencia en la comunidad de seguridad, que ha presentado una creciente evidencia de la exposición de estos servidores. En julio de 2026, un estudio publicado en arXiv reveló que el 91.8% de los 640 servidores de producción auditados carecían de OAuth, además de detectar 687 instancias con acceso irrestricto a herramientas de shell. A esto se suman más de diez CVEs de alta gravedad, junto con los riesgos destacados en la lista de OWASP, que abordan problemas que van desde la gestión inadecuada de tokens hasta la intoxicación de herramientas.
Gobernanza y el Camino a Seguir
La reciente transferencia de la gobernanza del MCP a la Linux Foundation, bajo la Agencia de Inteligencia Artificial (AAIF), ha abierto un nuevo espacio para el diálogo. Anteriormente, el rumbo del protocolo estaba influenciado en gran medida por sus cofundadores, incluyendo a Anthropic, Block y OpenAI. Ahora, con la supervisión de la Linux Foundation, la comunidad tiene la oportunidad de debatir decisiones arquitectónicas sin el veto de un único proveedor.
Además, el Centro de Seguridad de Inteligencia Artificial de la NSA ha publicado, en junio de 2026, consideraciones de diseño de seguridad que subrayan los riesgos asociados con la serialización, fronteras de confianza y relaciones de confianza implícitas. Estas pautas resaltan la complejidad del desafío: la industria debe decidir entre realizar un endurecimiento arquitectónico más profundo del protocolo o continuar dependiendo de soluciones improvisadas por parte de los desarrolladores para mitigar los riesgos sistémicos.
En última instancia, el futuro del MCP y, por ende, de los agentes de inteligencia artificial, se sitúa en una encrucijada. La industria debe elegir entre comprometerse con una fortaleza arquitectónica fundamental del protocolo o aceptar un futuro en el que la seguridad siga siendo una carga constante del lado del desarrollador. La dirección que elijan determinará si la infraestructura de la próxima generación de agentes de IA será resiliente por diseño o quedará expuesta a vulnerabilidades inherentes.