Servidores MCP y su superficie

Un servidor MCP puede correr como proceso local del usuario, comunicado por la entrada y salida estándar, o como servicio remoto por HTTP. Cada modalidad cambia el riesgo: el proceso local hereda los permisos de quien lo lanza, y el servicio remoto recibe las credenciales que el agente le manda y las ve un tercero.

Además, la descripción de cada herramienta es texto que el modelo lee para decidir cuándo usarla. Si el servidor cambia esa descripción, cambia lo que el modelo cree que debe hacer, sin que cambie nada del lado del agente. De ahí tres controles: fijar la versión, aprobar la definición de cada herramienta y vigilar que no cambie, y no dejar pasar credenciales que el servidor no necesita.

Una versión fijada garantiza que lo que corre mañana es lo que se revisó hoy. La etiqueta latest hace lo contrario: instala lo último que el autor haya publicado en cada arranque, de modo que una actualización maliciosa o simplemente defectuosa entra sin que nadie la apruebe. Con un paquete público de terceros que corre con los permisos del usuario, el riesgo es mayor.

Consulta el inventario de servidores y localiza el que no tiene versión fijada.

La especificación de MCP prohíbe el reenvío de tokens: un servidor no debe aceptar tokens que no se emitieron para él ni pasarlos tal cual a otro servicio. Si lo hace, el servicio de destino ve una identidad que no es la del servidor, los registros pierden quién actuó y los controles que dependen del destinatario del token dejan de servir. Un servidor bien hecho comprueba que el token sea para él y pide al destino uno propio.

Revisa la columna que explica qué hace cada servidor con la credencial y encuentra el que reenvía al banco lo mismo que recibe.

El equipo de seguridad aprueba una definición de herramienta cuando da el servidor de alta y guarda su huella. Si la huella actual difiere de la aprobada, la definición cambió. No siempre es malo, pero un cambio que añade instrucciones nuevas a la descripción obliga a revisarla antes de seguir usando la herramienta, porque el modelo la va a leer como guía.

Compara las dos huellas en la tabla de definiciones y encuentra la herramienta cuya definición ya no es la aprobada. Fíjate también en qué dice ahora su descripción.

La edad de la última revisión mide la deuda de un servidor. Un servidor de terceros, sin versión fijada, que corre con permisos de usuario y lleva meses sin mirarse, reúne los tres factores que más preocupan a quien audita. El inventario se consultó el 2 de octubre de 2026.

Calcula cuántos días pasaron entre la última revisión de ese servidor y la fecha de la consulta.