El Model Context Protocol (MCP) es un estándar abierto que permite a los asistentes de IA conectarse a herramientas y datos externos, como un CRM, una cuenta de analítica, un almacén de archivos o una base de datos, a través de una interfaz común. Los principales riesgos son permisos excesivos, inyección de prompts a través de contenido que el asistente lee, servidores de terceros no confiables y una gestión débil de credenciales. Las reglas de gobernanza deben establecerse antes del despliegue: qué servidores están aprobados, a qué puede acceder cada uno, quién aprueba las acciones de escritura y cómo se registra la actividad.
Anthropic introdujo MCP a finales de 2024 como un protocolo abierto, y desde entonces ha sido adoptado por otros proveedores de IA y herramientas de desarrollo. Un servidor MCP expone herramientas, recursos y prompts; un cliente MCP, como Claude, ChatGPT en modos compatibles o un asistente de IDE, se conecta a él. Un equipo de marketing podría usar servidores MCP para permitir que un asistente lea datos de Google Analytics, consulte una tienda Shopify, busque en Google Drive o publique en Slack.
¿Por qué es importante MCP para los equipos de marketing?
Antes de MCP, conectar un asistente a cada herramienta requería una integración personalizada. MCP estandariza esa conexión, por lo que un asistente puede trabajar en muchos sistemas. Eso hace que tareas como extraer los resultados de la campaña de la semana pasada de la plataforma publicitaria y resumirlos en un documento sean mucho más fáciles.
La misma conveniencia es la fuente del riesgo. Un asistente con acceso a diez sistemas puede causar diez veces más daño si es engañado o mal configurado.
¿Cuáles son los principales riesgos de seguridad?
Inyección de prompts
Si un asistente lee una página web, correo electrónico o documento que contiene instrucciones ocultas, puede seguirlas. Combinado con herramientas MCP que pueden enviar mensajes o cambiar datos, una instrucción maliciosa podría hacer que el asistente filtre información o realice acciones no deseadas. Los investigadores de seguridad han demostrado tales ataques contra varios entornos MCP.
Permisos demasiado amplios
Muchos servidores se autentican con un solo token que otorga todo lo que el usuario puede hacer. Un asistente destinado solo a leer informes podría, a través del mismo token, ser capaz de eliminar campañas.
Servidores no confiables
Cualquiera puede publicar un servidor MCP. Un servidor de una fuente desconocida podría registrar datos, cambiar sus descripciones de herramientas después de la instalación o contener código vulnerable. Ejecutar servidores no verificados localmente les da acceso a la máquina.
Exposición de credenciales
Las claves API almacenadas en archivos de configuración simples, compartidas entre el personal o confirmadas en repositorios son una debilidad común. La especificación MCP agregó autorización basada en OAuth para servidores remotos, pero las implementaciones varían.
¿Cuáles son los límites prácticos de MCP?
- Los asistentes pueden elegir la herramienta incorrecta o pasar parámetros incorrectos
- Las extracciones de datos grandes pueden exceder los límites de contexto y ser truncadas
- La calidad del servidor varía mucho; algunos son mantenidos por proveedores, muchos por individuos
- No todos los clientes admiten todas las funciones o transporte de MCP
- El registro de auditoría a menudo se deja al autor del servidor y puede ser mínimo
¿Qué reglas de gobernanza deben establecerse primero?
- Lista de servidores aprobados: solo servidores oficiales de proveedores o revisados internamente
- Solo lectura por defecto: las acciones de escritura y eliminación necesitan aprobación explícita por caso de uso
- Credenciales de menor privilegio: tokens separados con alcances mínimos para cada servidor
- Confirmación humana para cualquier acción que envíe, publique, gaste o elimine
- No servidores que combinen la lectura de contenido no confiable con acceso de escritura sensible en una sesión
- Registro: registre qué herramientas fueron llamadas, por quién y con qué resultado
- Propietario por servidor: alguien responsable de las actualizaciones y la revisión de cambios
La regla sobre la combinación de capacidades merece énfasis. Un asistente que navega por la web abierta y también tiene permiso para enviar correos electrónicos a los clientes es una combinación de alto riesgo. Sepárelos o requiera confirmación para cada acción saliente.
¿Cómo debe un equipo revisar un servidor MCP antes de la aprobación?
Verifique quién lo publica, si el código es abierto, cuándo se actualizó por última vez y qué permisos solicita. Lea las descripciones de las herramientas, porque son efectivamente instrucciones para el modelo. Pruébelo en una cuenta sandbox sin datos reales de clientes antes de conectarlo a sistemas de producción.
Prefiera servidores remotos con OAuth y permisos con alcance del propio proveedor de la herramienta cuando esté disponible. Muchas plataformas importantes ahora publican servidores oficiales.
Cómo aplica Alien Road el Model Context Protocol
En un compromiso típico, comenzamos enumerando las tareas que el cliente quiere que realice un asistente y los sistemas que tocan esas tareas. La mayoría de los casos de uso de marketing, como informes, investigación y redacción, solo necesitan acceso de lectura, lo que da forma a toda la configuración.
La configuración implica elegir servidores oficiales o revisados, crear credenciales con alcance para cada uno, configurar la aplicación cliente para que las acciones de escritura requieran confirmación y escribir una política de una página que enumere los servidores y propietarios aprobados. Probamos primero en cuentas sandbox. Para la medición y la generación de informes, revisamos los registros de llamadas a herramientas con el cliente, rastreamos el tiempo ahorrado en las tareas cubiertas y registramos cualquier acción bloqueada o inesperada, de modo que la gobernanza se verifique frente al uso real en lugar de suposiciones.
¿Cómo es un primer caso de uso de bajo riesgo?
Un buen primer proyecto es un asistente de informes de solo lectura. Se conecta a Google Analytics, Search Console y la plataforma publicitaria solo con alcances de lectura, y produce un resumen semanal para el equipo. No se puede cambiar nada, y el peor de los casos es un resumen inexacto que una persona verifica antes de compartir.
Una vez que eso funciona bien, un equipo podría agregar acceso de escritura a un solo destino de bajo riesgo, como crear borradores de documentos en una carpeta compartida, aún con confirmación.
¿Cómo se relaciona MCP con las reglas de protección de datos?
Cuando un asistente extrae datos de clientes a través de un servidor MCP, esos datos pueden pasar a los sistemas del proveedor de IA. Bajo GDPR y KVKK, el proveedor se convierte en procesador, y la empresa necesita un acuerdo de procesamiento de datos y un propósito claro para la transferencia.
Verifique dónde procesa los datos el proveedor de IA, si los planes comerciales los excluyen del entrenamiento y cuánto tiempo se conservan los registros de conversación. Para los servidores que tocan datos personales, prefiera consultas agregadas, como totales de campaña, en lugar de extraer registros individuales de clientes a la conversación.
Documente estas opciones en la misma política que enumera los servidores aprobados, de modo que una sola página responda tanto a las preguntas de seguridad como de privacidad.
Por dónde empezar esta semana
Enumere cada servidor MCP o conector de IA actualmente activo en los asistentes de su equipo, incluidas las configuraciones personales. Para cada uno, anote quién lo instaló, qué credenciales utiliza y si puede escribir datos. Deshabilite cualquier cosa que nadie pueda explicar, cambie los servidores restantes a los alcances más estrechos disponibles y anote la regla de aprobación para el siguiente antes de que alguien lo instale.
Siga leyendo: Optimización con IA · Optimización con IA