Cyberpediapor Brain
ESDEENFR

Agentes de IA, herramientas y protocolo MCP

Un agente de IA llama a herramientas en su nombre: correo, archivos, API. Qué puede hacer mal y cómo limitar sus permisos.

En 30 segundos

Dónde ocurre
En cualquier asistente que lea sus correos, sus documentos o páginas web y pueda actuar (enviar o eliminar) sin que usted haga clic en cada paso3.
Lo que quiere el atacante
Colar una instrucción en un contenido que el agente va a leer, para que actúe en su lugar, por ejemplo reenviando correos sensibles3.
El reflejo
Dar al agente el mínimo estricto de permisos, exigir su validación antes de cualquier acción con efecto (envío, eliminación, publicación) y revisar lo que ha preparado3.
Si ya ha ocurrido
Avise a su equipo de seguridad, con la fecha y las herramientas conectadas al agente en ese momento. Los registros de actividad de las herramientas sirven para detectar acciones anómalas3.

De qué se trata

Un agente de IA es un modelo de lenguaje al que se le han dado herramientas: leer un buzón de correo, abrir archivos, navegar por un sitio web, llamar a una API. Trabajos de investigación de 2022 y 2023 describen modelos entrenados para decidir qué API llamar, cuándo llamarlas y con qué argumentos1, o guiados con unos pocos ejemplos para alternar razonamiento y acciones y consultar fuentes externas2.

OWASP, que mantiene la lista de los principales riesgos de las aplicaciones basadas en modelos de lenguaje, habla de «agency»: la capacidad de llamar a funciones o de interactuar con otros sistemas mediante extensiones, que los proveedores también llaman herramientas, habilidades o plugins. La elección de la extensión que se ejecuta puede delegarse en el propio agente, que decide según la solicitud o según el resultado de una llamada anterior3. Para el empleado, la pregunta se vuelve sencilla: ¿qué puede hacer este agente en mi nombre y quién lo controla antes de que lo haga?

Preguntas directas

¿Qué distingue a un agente de un simple asistente de conversación?

Un asistente de conversación responde. Un agente actúa: hace llamadas repetidas al modelo y se apoya en el resultado de las anteriores para guiar las siguientes3. Cada herramienta conectada amplía lo que puede provocar un error o una manipulación.

¿Qué es el protocolo MCP?

Las fuentes reunidas para esta ficha no describen MCP. Tratan de herramientas, extensiones y conectores en general, y los riesgos descritos más abajo valen para cualquier forma de conectar un agente a una herramienta. Por tanto, el protocolo en sí no se detalla aquí.

¿Qué es una inyección de prompt indirecta?

Es el caso en que el modelo recibe instrucciones ocultas en un contenido externo, como un sitio web o un archivo, y modifica su comportamiento por ello4. Unos investigadores mostraron en 2023 que esta vía permite atacar a distancia, sin interfaz directa, aplicaciones que integran un modelo, colocando las instrucciones en datos susceptibles de ser recuperados5. El atacante no necesita acceder a la IA: escribe algo que acabará siendo leído por ella6. El texto puede incluso ser invisible para una persona, siempre que el modelo lo interprete4.

¿Se pueden bloquear estos ataques con un filtro?

No del todo. OWASP considera incierto que exista una prevención infalible4. El NCSC británico explica que los modelos actuales no distinguen entre instrucciones y datos: solo predicen la palabra siguiente. Estima que la inyección de prompt podría no corregirse nunca por completo, a diferencia de la inyección SQL, y recomienda reducir el riesgo y el impacto6. También advierte contra los productos que dicen «detener» la inyección de prompt6.

¿Qué debo revisar antes de dejar que el agente actúe?

Todo lo que salga de su ámbito: correos enviados o archivos compartidos. OWASP da el ejemplo de un envío de correo en el que el usuario revisa y valida cada mensaje redactado por el agente3.

1Cómo funciona1 min

Una aplicación entrega al modelo un conjunto de herramientas y deja que el modelo elija cuáles llamar3. Las instrucciones del desarrollador y el contenido que hay que procesar (un correo, una página, un archivo) llegan en una misma entrada. Los agentes actuales se basan, por lo general, en esta mezcla de instrucciones de confianza y datos no fiables7.

El NCSC extrae de ello una consecuencia práctica. Cuando el agente llama a herramientas o API según lo que dice el modelo, un atacante que lo manipula obtiene el equivalente a un acceso directo a esas herramientas, con el peor escenario que eso implica6.

2Lo que usted hace2 min

OWASP enumera las medidas que reducen el exceso de poder de un agente. No siempre controlará su configuración, pero puede pedirlas al equipo que despliega la herramienta.

  • Reducir las herramientas: si el agente no necesita leer una dirección web, no se le ofrece esa función3.
  • Reducir las funciones: una extensión que resume correos solo necesita leerlos, no eliminarlos ni enviarlos3.
  • Preferir las herramientas precisas a las abiertas, del tipo «ejecutar un comando»: con estas últimas se puede lanzar cualquier otro comando3.
  • Reducir los permisos: una herramienta de lectura de una base de datos no debe conectarse con una identidad que también pueda modificar o eliminar3.
  • Actuar con sus propios derechos, no con una cuenta genérica muy privilegiada. Para un repositorio de código, OWASP cita una conexión OAuth con el alcance mínimo3.
  • Pedir una validación humana para las acciones de gran impacto3.
  • Registrar la actividad de las herramientas para detectar acciones anómalas y limitar la tasa de uso para reducir el número de acciones no deseadas posibles en un lapso de tiempo3.

El NCSC propone una regla simple: cuando un modelo procesa información procedente de un tercero, sus privilegios bajan a los de ese tercero. Por tanto, un agente que lee correos de personas externas no debe tener acceso a herramientas privilegiadas6.

Por el lado de la plataforma, Microsoft describe para Copilot Studio controles reservados a los administradores: políticas de datos sobre conectores, acciones y solicitudes HTTP, análisis de las dependencias de los conectores antes del despliegue, registros de auditoría y la posibilidad de desactivar la publicación de agentes que usan IA generativa. Los diseñadores de agentes también pueden configurar las herramientas para que se ejecuten con las credenciales del usuario8.

3Las trampas1 min
  • El agente con permisos excesivos. OWASP distingue tres causas: demasiadas funciones, demasiados permisos y demasiada autonomía3. Una extensión probada durante el desarrollo y luego abandonada puede seguir accesible para el agente3. Una extensión de terceros elegida para leer documentos puede también saber modificarlos y eliminarlos3.
  • La instrucción oculta en un correo. En el ejemplo de OWASP, un correo entrante manipulado empuja a un asistente de correo a rastrear la bandeja de entrada y a reenviar información sensible al atacante3.
  • La imagen que filtra la conversación. Un usuario pide a la IA que resuma una página que contiene instrucciones ocultas, las cuales le hacen insertar una imagen que apunta a una dirección: así sale la conversación privada4.
  • El documento modificado en una base de conocimiento. Si un atacante altera un documento usado por una aplicación de generación aumentada con recuperación, la respuesta de la IA puede volverse engañosa4.
  • El encadenamiento entre herramientas. Una inyección puede venir de una llamada anterior a una extensión comprometida, o de otro agente comprometido en un sistema multiagente3.
  • La prueba única que tranquiliza sin motivo. El NIST señala que un modelo puede resistir los ataques ya conocidos y ceder ante ataques diseñados para él7.
4Casos reales1 min

Febrero de 2023: demostración sobre Bing Chat y asistentes de código

Unos investigadores, entre ellos Kai Greshake y Sahar Abdelnabi, remitieron el 23 de febrero de 2023 un artículo que mostraba ataques por inyección indirecta contra sistemas reales, entre ellos el Chat de Bing basado en GPT-4 y motores de autocompletado de código. Según ellos, procesar un prompt recuperado puede equivaler a una ejecución de código arbitrario y controlar si se llama a otras API y cómo. Señalan que en ese momento faltaban defensas eficaces5.

Enero de 2025: la evaluación del NIST sobre el secuestro de agentes

El 17 de enero de 2025, el Center for AI Standards and Innovation del NIST publicó sus pruebas de secuestro de agentes sobre el marco AgentDojo. Los ataques diseñados específicamente para el modelo probado pasaron de un 11 % de éxito (el mejor ataque de referencia) a un 81 %7. En cinco tareas de inyección, entre ellas el envío de un código de autenticación a un tercero y la ejecución de un script malicioso, el éxito medio fue del 57 % con un intento y del 80 % con 25 intentos por ataque7. Se trataba de entornos simulados, no de incidentes en una empresa7.

Ficha

Identificador
CP-264
Ala
4. Inteligencia artificial
Competencia Brain
Dominar la IA (master_ai)
Reflejo Brain
air-048
Esquema
G3 · Corte anatómico
Idiomas
de, en, es, fr
Fuentes
8 fuentes verificadas el 3 de noviembre de 2026
Fuentes8 fuentes
  1. arXiv, «Toolformer: Language Models Can Teach Themselves to Use Tools», 9 de febrero de 2023. https://arxiv.org/abs/2302.04761 (consultado el 3 de noviembre de 2026)
  2. arXiv, «ReAct: Synergizing Reasoning and Acting in Language Models», 6 de octubre de 2022. https://arxiv.org/abs/2210.03629 (consultado el 3 de noviembre de 2026)
  3. OWASP, «LLM06:2025 Excessive Agency». https://genai.owasp.org/llmrisk/llm062025-excessive-agency/ (consultado el 3 de noviembre de 2026)
  4. OWASP, «LLM01:2025 Prompt Injection». https://genai.owasp.org/llmrisk/llm01-prompt-injection/ (consultado el 3 de noviembre de 2026)
  5. arXiv, «Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection», 23 de febrero de 2023. https://arxiv.org/abs/2302.12173 (consultado el 3 de noviembre de 2026)
  6. NCSC (Royaume-Uni), «Prompt injection is not SQL injection (it may be worse)», 8 de diciembre de 2025. https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection (consultado el 3 de noviembre de 2026)
  7. NIST, «Technical Blog: Strengthening AI Agent Hijacking Evaluations», 17 de enero de 2025. https://www.nist.gov/news-events/news/2025/01/technical-blog-strengthening-ai-agent-hijacking-evaluations (consultado el 3 de noviembre de 2026)
  8. Microsoft, «Security and governance - Microsoft Copilot Studio». https://learn.microsoft.com/en-us/microsoft-copilot-studio/security-and-governance (consultado el 3 de noviembre de 2026)

Citar este artículo

Brain, «Agentes de IA, herramientas y protocolo MCP», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/agentes-ia-herramientas-mcp/

BibTeX 
@misc{brain_cp264_es_2026,
  author = {Brain},
  title = {Agentes de IA, herramientas y protocolo MCP},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/es/articles/agentes-ia-herramientas-mcp/},
  note = {CC BY 4.0}
}
Licencia CC BY 4.0