El Model Context Protocol estandariza la forma en que los agentes descubren e invocan herramientas, servicios y fuentes de datos externas. Esto acelera la automatización: los agentes pueden abrir tickets, ejecutar consultas o iniciar transacciones. Sin embargo, también concentra privilegios. Cuando un único endpoint de protocolo puede enumerar e invocar muchos servicios, los equipos de defensa pierden el contexto específico de cada herramienta que dan por supuesto los controles de acceso tradicionales. Comprender el papel de MCP es el primer paso: hay que tratar los servidores MCP como puertas de enlace de protocolo que requieren tanto observabilidad como control, y no limitarse a aplicarles una protección de red genérica.

MCP introduce varios vectores de ataque que no suelen aparecer en la exposición de API tradicional. El envenenamiento de herramientas manipula sus manifiestos para que los agentes ejecuten acciones maliciosas o arriesgadas. La enumeración de herramientas permite a los atacantes averiguar qué capacidades internas están disponibles y elegir sus objetivos prioritarios. La suplantación de agentes y el abuso de credenciales pueden dar lugar a acciones no autorizadas. Por último, los servidores MCP maliciosos pueden interceptar o redirigir las solicitudes de los agentes. Los equipos de defensa necesitan detectar el comportamiento —supervisar los patrones y la frecuencia de las invocaciones, así como sus efectos posteriores—, ya que las reglas basadas únicamente en firmas no detectarán muchos de estos ataques dirigidos al protocolo.

Radware combina la visibilidad específica de MCP con medidas de mitigación adaptadas al protocolo. Entre sus funciones principales están el inventario y el mapeo de servidores MCP y herramientas expuestas; la detección del abuso del protocolo, como las inundaciones sistemáticas y las secuencias inusuales de invocación de herramientas; el análisis de la identidad de los agentes; y los controles de gobernanza para aplicar políticas a escala. La compatibilidad con entornos híbridos —nube pública y privada, Kubernetes y dispositivos físicos— permite operar el producto en infraestructuras empresariales diversas. La solución amplía las funciones existentes de Agentic AI Protection y LLM Firewall de Radware y ofrece una protección integrada para agentes, modelos y la infraestructura MCP.

Los equipos de operaciones deberían seguir un proceso de tres fases. Fase 1: inventariar los servidores MCP y catalogar las herramientas expuestas; el resultado debe gestionarse como un activo de configuración. Fase 2: recopilar la actividad de los agentes y establecer una referencia de las secuencias de invocación normales para ajustar la detección de anomalías y reducir los falsos positivos. Fase 3: aplicar controles de forma progresiva —límites de frecuencia, políticas de acceso a herramientas y listas de denegación— e integrarlos con la gestión de identidades y secretos y con los controles de cambios. Los flujos de automatización deben incluir medidas de seguridad, como aprobaciones y ejecuciones simuladas, antes de conceder a los agentes acceso a herramientas de alto riesgo.

La seguridad de MCP es tanto una cuestión organizativa como técnica. Los equipos jurídicos y de cumplimiento, junto con los responsables de negocio, deben ayudar a definir qué acciones de los agentes y qué usos de los datos son aceptables. Los equipos de seguridad necesitan plantillas de políticas que reflejen los riesgos del negocio —por ejemplo, las diferencias entre finanzas y recursos humanos— y niveles de aplicación vinculados a la identidad del agente y a la criticidad de las herramientas. Con el tiempo, cabe esperar que los ecosistemas de MCP estandaricen los formatos de telemetría y los esquemas de políticas. Los proveedores que ofrezcan integraciones abiertas con plataformas de identidad, SIEM y orquestación acelerarán la adopción segura de agentes. Por ahora, las hojas de ruta deberían dar prioridad a la visibilidad y la gobernanza, antes que al bloqueo indiscriminado.