El protocolo MCP para comunicaciones entre agentes puede ser el más peligroso que jamás hayas escuchado
Un nuevo protocolo de comunicación entre agentes de inteligencia artificial, conocido como MCP (Multi-Agent Communication Protocol), está generando preocupación en la comunidad de seguridad tras revelarse como una vía de ataque especialmente riesgosa. Este protocolo, diseñado para permitir que los agentes de IA se comuniquen entre sí dentro de entornos empresariales, ha sido identificado como un vector vulnerable que permite a los atacantes propagar instrucciones maliciosas desde un agente a otro, sin que estos detecten la amenaza.
En las últimas cinco semanas, empresas como Google y otras cuatro organizaciones que comparten el uso de agentes de IA han confirmado vulnerabilidades relacionadas con esta técnica. Estas fallas permiten que un atacante comprometa un agente interno y lo utilice como punto de entrada para distribuir instrucciones dañinas a otros agentes del mismo sistema, creando un efecto dominó dentro de la red.
La técnica en cuestión es una variante especial de inyección de prompts, pero en este caso no se dirige al modelo de lenguaje subyacente (LLM), sino directamente a los agentes específicos. Estos pueden encargarse de tareas como traducción o análisis de datos, y suelen carecer de controles robustos que eviten la propagación de instrucciones maliciosas. En muchos casos, los sistemas de protección internos son débiles o inexistentes.
Los servidores MCP almacenan credenciales para cada agente y, por diseño, los agentes están configurados para confiar mutuamente entre sí. Esto significa que si un atacante logra manipular a uno de ellos, puede hacer que transmita instrucciones a otros sin que estos se den cuenta. El problema radica en que cada agente actúa según lo programado, lo cual hace que la explotación sea difícil de detectar y mitigar.
Según Douglas McKee, director de inteligencia de vulnerabilidades en Rapid7, «los agentes de IA ofrecen a los atacantes una nueva red de conexiones para navegar. Al insertar texto en un contenido, un agente lo lee y lo pasa a otro como una tarea delegada normal, y ese segundo agente lo ejecuta porque confía en quien le dio la orden.» Esta dinámica convierte a cada agente en una pieza legítima del proceso, lo que dificulta su detección.
Una de las vulnerabilidades más destacadas fue CVE-2026-97228, descubierta por Syed en la red de Rapid7. Aunque recibió una calificación de gravedad baja (2.7 sobre 10), su impacto fue significativo. El fallo permitía que un parámetro de ruta malicioso provocara una redirección a un endpoint interno, lo que permitía a los atacantes enviar solicitudes desde el servidor sin autorización.
Google respondió a su vulnerabilidad implementando una lista blanca de rangos IP y listas negras. La solución consiste en rechazar direcciones URL peligrosas durante el inicio del sistema, en lugar de hacerlo en la primera solicitud. Esta estrategia representa una medida de protección más sólida frente a ataques de tipo SSRF (Server-Side Request Forgery).
Markus Vervier, investigador de X41 D-Sec, también ha desarrollado técnicas de ataque contra agentes de IA que aprovechan MCP. Para él, lo que ocurre es una forma de inyección de prompts indirecta, donde el prompt malicioso proviene de otro protocolo y se manifiesta cuando se utiliza en otro contexto. «No es necesario que el prompt llegue directamente desde el LLM; basta con que se propague entre agentes», explicó.
La naturaleza de estas vulnerabilidades destaca la necesidad de revisar los protocolos de comunicación entre agentes, ya que muchos están construidos bajo la premisa de que operan de manera aislada. Cada componente verifica su propia puerta de entrada, pero nadie vigila el pasillo entre ellos. Esta brecha de seguridad representa un riesgo crítico en entornos empresariales donde millones de agentes de IA están integrados en sistemas complejos.
Con la adopción masiva de agentes de IA en organizaciones, el riesgo de este tipo de ataques se amplifica. Las empresas deben reevaluar sus arquitecturas de seguridad para incorporar controles más robustos que eviten que los agentes se conviertan en puntos de entrada para ataques internos. La vigilancia y el control de las interacciones entre agentes se ha convertido en una prioridad crítica para mantener la integridad de los sistemas de IA.
Traducción y adaptación por Tecnología 365.
Fuente original: Ars Technica