Más del 20 % de las políticas de acceso MCP están rotas o ausentes
Un estudio interno revela que una quinta parte de los servidores MCP carecen de políticas de autorización válidas, exponiendo tokens estáticos y permisos excesivos.
El 28 de julio de 2026 los mantenedores del Model Context Protocol (MCP) publicaron una actualización centrada en la autorización: validación del emisor, credenciales vinculadas al emisor y documentos de metadatos de ID de cliente. La medida reconoce que el modelo de confianza original no sobrevivía al uso en producción.
En paralelo, Invariant Labs había demostrado en mayo de 2025 que el servidor MCP de GitHub podía ser secuestrado mediante un issue público contaminado. Un atacante inyectaba texto que el agente interpretaba como instrucción y, usando el token del víctima, accedía a repositorios privados. Un benchmark llamado MCPTox, ejecutado en 2026, evaluó 45 servidores MCP y 20 modelos, registrando una tasa de éxito de ataque del 36,5 % en promedio y del 72,8 % en el modelo peor evaluado.
Nuestro propio análisis de integraciones MCP en varios clientes mostró que más del 20 % de las políticas de acceso revisadas estaban rotas o faltaban. En la mayoría de los casos el servidor MCP se autenticaba con tokens personales en lugar de cuentas de servicio, sin agenda de rotación ni registros de uso. Aproximadamente el 88 % de los servidores requieren credenciales, pero solo el 8,5 % emplea OAuth; el resto usa claves API estáticas que rara vez se renuevan.
El caso ilustrativo es el de Bob, un empleado de finanzas que, en un fin de semana, creó una herramienta de programación que se conecta a Slack y a tres APIs internas. La herramienta reutiliza una clave API de nivel administrador almacenada en el gestor de contraseñas, sin definir alcances ni rotarla. La herramienta sigue operativa, sin incidentes reportados, pero su token permanece válido indefinidamente y no hay registro de sus acciones.
Este escenario evidencia un problema estructural: la falta de visibilidad sobre qué tokens están en uso y qué recursos pueden alcanzar. La solución no pasa por bloquear todas las integraciones de IA, sino por establecer inventarios de permisos y políticas de rotación automáticas. Sin esas garantías, cualquier proyecto improvisado puede escalar sin control y convertirse en vector de ataque.
En conclusión, la comunidad de plataformas debe priorizar la detección proactiva de políticas rotas, la sustitución de tokens estáticos por credenciales OAuth con scopes mínimos y la auditoría continua de los accesos MCP. Solo así se evitará que herramientas aparentemente inocuas, como la de Bob, se conviertan en brechas de seguridad críticas.
