--- id: CP-264 slug: agentes-ia-herramientas-mcp lang: es title: Agentes de IA, herramientas y protocolo MCP description: "Un agente de IA llama a herramientas en su nombre: correo, archivos, API. Qué puede hacer mal y cómo limitar sus permisos." canonical_url: https://startbrain.io/cyberpedia/es/articles/agentes-ia-herramientas-mcp/ markdown_url: https://startbrain.io/cyberpedia/es/articles/agentes-ia-herramientas-mcp.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Agentes de IA, herramientas y protocolo MCP», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/agentes-ia-herramientas-mcp/ (CC BY 4.0) wing: 4 theme: master_ai reflex: air-048 schema: G3 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/agentes-ia-herramientas-mcp/ fr: https://startbrain.io/cyberpedia/fr/articles/agents-ia-outils-mcp/ en: https://startbrain.io/cyberpedia/en/articles/ai-agents-tool-use-mcp/ de: https://startbrain.io/cyberpedia/de/articles/ki-agenten-werkzeuge-mcp/ it: https://startbrain.io/cyberpedia/it/articles/agenti-ia-strumenti-mcp/ sources: - "n": 1 title: "Toolformer: Language Models Can Teach Themselves to Use Tools" publisher: arXiv url: https://arxiv.org/abs/2302.04761 published: "2023-02-09" accessed: "2026-11-03" - "n": 2 title: "ReAct: Synergizing Reasoning and Acting in Language Models" publisher: arXiv url: https://arxiv.org/abs/2210.03629 published: "2022-10-06" accessed: "2026-11-03" - "n": 3 title: LLM06:2025 Excessive Agency publisher: OWASP url: https://genai.owasp.org/llmrisk/llm062025-excessive-agency/ accessed: "2026-11-03" - "n": 4 title: LLM01:2025 Prompt Injection publisher: OWASP url: https://genai.owasp.org/llmrisk/llm01-prompt-injection/ accessed: "2026-11-03" - "n": 5 title: "Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection" publisher: arXiv url: https://arxiv.org/abs/2302.12173 published: "2023-02-23" accessed: "2026-11-03" - "n": 6 title: Prompt injection is not SQL injection (it may be worse) publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection published: "2025-12-08" accessed: "2026-11-03" - "n": 7 title: "Technical Blog: Strengthening AI Agent Hijacking Evaluations" publisher: NIST url: https://www.nist.gov/news-events/news/2025/01/technical-blog-strengthening-ai-agent-hijacking-evaluations published: "2025-01-17" accessed: "2026-11-03" - "n": 8 title: Security and governance - Microsoft Copilot Studio publisher: Microsoft url: https://learn.microsoft.com/en-us/microsoft-copilot-studio/security-and-governance accessed: "2026-11-03" --- # Agentes de IA, herramientas y protocolo MCP Un agente de IA es un modelo de lenguaje al que se le han dado herramientas: leer un buzón de correo, abrir archivos, navegar por un sitio web, llamar a una API. Trabajos de investigación de 2022 y 2023 describen modelos entrenados para decidir qué API llamar, cuándo llamarlas y con qué argumentos [1], o guiados con unos pocos ejemplos para alternar razonamiento y acciones y consultar fuentes externas [2]. OWASP, que mantiene la lista de los principales riesgos de las aplicaciones basadas en modelos de lenguaje, habla de «agency»: la capacidad de llamar a funciones o de interactuar con otros sistemas mediante extensiones, que los proveedores también llaman herramientas, habilidades o plugins. La elección de la extensión que se ejecuta puede delegarse en el propio agente, que decide según la solicitud o según el resultado de una llamada anterior [3]. Para el empleado, la pregunta se vuelve sencilla: ¿qué puede hacer este agente en mi nombre y quién lo controla antes de que lo haga? ## En 30 segundos - Dónde ocurre: en cualquier asistente que lea sus correos, sus documentos o páginas web y pueda actuar (enviar o eliminar) sin que usted haga clic en cada paso [3]. - Lo que quiere el atacante: colar una instrucción en un contenido que el agente va a leer, para que actúe en su lugar, por ejemplo reenviando correos sensibles [3]. - El reflejo: dar al agente el mínimo estricto de permisos, exigir su validación antes de cualquier acción con efecto (envío, eliminación, publicación) y revisar lo que ha preparado [3]. - Si ya ha ocurrido: avise a su equipo de seguridad, con la fecha y las herramientas conectadas al agente en ese momento. Los registros de actividad de las herramientas sirven para detectar acciones anómalas [3]. ## Preguntas directas ### ¿Qué distingue a un agente de un simple asistente de conversación? Un asistente de conversación responde. Un agente actúa: hace llamadas repetidas al modelo y se apoya en el resultado de las anteriores para guiar las siguientes [3]. Cada herramienta conectada amplía lo que puede provocar un error o una manipulación. ### ¿Qué es el protocolo MCP? Las fuentes reunidas para esta ficha no describen MCP. Tratan de herramientas, extensiones y conectores en general, y los riesgos descritos más abajo valen para cualquier forma de conectar un agente a una herramienta. Por tanto, el protocolo en sí no se detalla aquí. ### ¿Qué es una inyección de prompt indirecta? Es el caso en que el modelo recibe instrucciones ocultas en un contenido externo, como un sitio web o un archivo, y modifica su comportamiento por ello [4]. Unos investigadores mostraron en 2023 que esta vía permite atacar a distancia, sin interfaz directa, aplicaciones que integran un modelo, colocando las instrucciones en datos susceptibles de ser recuperados [5]. El atacante no necesita acceder a la IA: escribe algo que acabará siendo leído por ella [6]. El texto puede incluso ser invisible para una persona, siempre que el modelo lo interprete [4]. ### ¿Se pueden bloquear estos ataques con un filtro? No del todo. OWASP considera incierto que exista una prevención infalible [4]. El NCSC británico explica que los modelos actuales no distinguen entre instrucciones y datos: solo predicen la palabra siguiente. Estima que la inyección de prompt podría no corregirse nunca por completo, a diferencia de la inyección SQL, y recomienda reducir el riesgo y el impacto [6]. También advierte contra los productos que dicen «detener» la inyección de prompt [6]. ### ¿Qué debo revisar antes de dejar que el agente actúe? Todo lo que salga de su ámbito: correos enviados o archivos compartidos. OWASP da el ejemplo de un envío de correo en el que el usuario revisa y valida cada mensaje redactado por el agente [3]. ## Cómo funciona Una aplicación entrega al modelo un conjunto de herramientas y deja que el modelo elija cuáles llamar [3]. Las instrucciones del desarrollador y el contenido que hay que procesar (un correo, una página, un archivo) llegan en una misma entrada. Los agentes actuales se basan, por lo general, en esta mezcla de instrucciones de confianza y datos no fiables [7]. El NCSC extrae de ello una consecuencia práctica. Cuando el agente llama a herramientas o API según lo que dice el modelo, un atacante que lo manipula obtiene el equivalente a un acceso directo a esas herramientas, con el peor escenario que eso implica [6]. ## Lo que usted hace OWASP enumera las medidas que reducen el exceso de poder de un agente. No siempre controlará su configuración, pero puede pedirlas al equipo que despliega la herramienta. - Reducir las herramientas: si el agente no necesita leer una dirección web, no se le ofrece esa función [3]. - Reducir las funciones: una extensión que resume correos solo necesita leerlos, no eliminarlos ni enviarlos [3]. - Preferir las herramientas precisas a las abiertas, del tipo «ejecutar un comando»: con estas últimas se puede lanzar cualquier otro comando [3]. - Reducir los permisos: una herramienta de lectura de una base de datos no debe conectarse con una identidad que también pueda modificar o eliminar [3]. - Actuar con sus propios derechos, no con una cuenta genérica muy privilegiada. Para un repositorio de código, OWASP cita una conexión OAuth con el alcance mínimo [3]. - Pedir una validación humana para las acciones de gran impacto [3]. - Registrar la actividad de las herramientas para detectar acciones anómalas y limitar la tasa de uso para reducir el número de acciones no deseadas posibles en un lapso de tiempo [3]. El NCSC propone una regla simple: cuando un modelo procesa información procedente de un tercero, sus privilegios bajan a los de ese tercero. Por tanto, un agente que lee correos de personas externas no debe tener acceso a herramientas privilegiadas [6]. Por el lado de la plataforma, Microsoft describe para Copilot Studio controles reservados a los administradores: políticas de datos sobre conectores, acciones y solicitudes HTTP, análisis de las dependencias de los conectores antes del despliegue, registros de auditoría y la posibilidad de desactivar la publicación de agentes que usan IA generativa. Los diseñadores de agentes también pueden configurar las herramientas para que se ejecuten con las credenciales del usuario [8]. ## Las trampas - El agente con permisos excesivos. OWASP distingue tres causas: demasiadas funciones, demasiados permisos y demasiada autonomía [3]. Una extensión probada durante el desarrollo y luego abandonada puede seguir accesible para el agente [3]. Una extensión de terceros elegida para leer documentos puede también saber modificarlos y eliminarlos [3]. - La instrucción oculta en un correo. En el ejemplo de OWASP, un correo entrante manipulado empuja a un asistente de correo a rastrear la bandeja de entrada y a reenviar información sensible al atacante [3]. - La imagen que filtra la conversación. Un usuario pide a la IA que resuma una página que contiene instrucciones ocultas, las cuales le hacen insertar una imagen que apunta a una dirección: así sale la conversación privada [4]. - El documento modificado en una base de conocimiento. Si un atacante altera un documento usado por una aplicación de generación aumentada con recuperación, la respuesta de la IA puede volverse engañosa [4]. - El encadenamiento entre herramientas. Una inyección puede venir de una llamada anterior a una extensión comprometida, o de otro agente comprometido en un sistema multiagente [3]. - La prueba única que tranquiliza sin motivo. El NIST señala que un modelo puede resistir los ataques ya conocidos y ceder ante ataques diseñados para él [7]. ## Casos reales ### Febrero de 2023: demostración sobre Bing Chat y asistentes de código Unos investigadores, entre ellos Kai Greshake y Sahar Abdelnabi, remitieron el 23 de febrero de 2023 un artículo que mostraba ataques por inyección indirecta contra sistemas reales, entre ellos el Chat de Bing basado en GPT-4 y motores de autocompletado de código. Según ellos, procesar un prompt recuperado puede equivaler a una ejecución de código arbitrario y controlar si se llama a otras API y cómo. Señalan que en ese momento faltaban defensas eficaces [5]. ### Enero de 2025: la evaluación del NIST sobre el secuestro de agentes El 17 de enero de 2025, el Center for AI Standards and Innovation del NIST publicó sus pruebas de secuestro de agentes sobre el marco AgentDojo. Los ataques diseñados específicamente para el modelo probado pasaron de un 11 % de éxito (el mejor ataque de referencia) a un 81 % [7]. En cinco tareas de inyección, entre ellas el envío de un código de autenticación a un tercero y la ejecución de un script malicioso, el éxito medio fue del 57 % con un intento y del 80 % con 25 intentos por ataque [7]. Se trataba de entornos simulados, no de incidentes en una empresa [7]. ## Fuentes 1. arXiv, «Toolformer: Language Models Can Teach Themselves to Use Tools», 9 de febrero de 2023. https://arxiv.org/abs/2302.04761 (consultado el 3 de noviembre de 2026) 2. arXiv, «ReAct: Synergizing Reasoning and Acting in Language Models», 6 de octubre de 2022. https://arxiv.org/abs/2210.03629 (consultado el 3 de noviembre de 2026) 3. OWASP, «LLM06:2025 Excessive Agency». https://genai.owasp.org/llmrisk/llm062025-excessive-agency/ (consultado el 3 de noviembre de 2026) 4. OWASP, «LLM01:2025 Prompt Injection». https://genai.owasp.org/llmrisk/llm01-prompt-injection/ (consultado el 3 de noviembre de 2026) 5. arXiv, «Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection», 23 de febrero de 2023. https://arxiv.org/abs/2302.12173 (consultado el 3 de noviembre de 2026) 6. NCSC (Royaume-Uni), «Prompt injection is not SQL injection (it may be worse)», 8 de diciembre de 2025. https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection (consultado el 3 de noviembre de 2026) 7. NIST, «Technical Blog: Strengthening AI Agent Hijacking Evaluations», 17 de enero de 2025. https://www.nist.gov/news-events/news/2025/01/technical-blog-strengthening-ai-agent-hijacking-evaluations (consultado el 3 de noviembre de 2026) 8. Microsoft, «Security and governance - Microsoft Copilot Studio». https://learn.microsoft.com/en-us/microsoft-copilot-studio/security-and-governance (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/agentes-ia-herramientas-mcp/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.