Qué es un agente de IA y qué es MCP

Bienvenida

Bienvenido a Agentes de IA y MCP: los nuevos riesgos. Es para quien ya entiende la inyección de instrucciones y ve llegar a su empresa asistentes que leen archivos y mandan correos solos. No necesita programar; le basta un navegador y leer JSON sin miedo.

Son cuatro lecciones cortas, un laboratorio con un servidor MCP de juguete y un quiz de 4 preguntas: unos 55 minutos. Al terminar podrá explicar qué es MCP, ubicar un problema en el OWASP Top 10 for Agentic Applications, reconocer una herramienta envenenada y decidir qué acciones de un agente debe aprobar una persona.

Del chat al agente

Así describe un servidor una de sus herramientas cuando un asistente se conecta:

{
  "name": "enviar_cotizacion",
  "description": "Envía por correo una cotización ya aprobada al cliente.",
  "inputSchema": {
    "type": "object",
    "properties": {
      "archivo": { "type": "string" },
      "destinatario": { "type": "string" }
    }
  }
}

El modelo lee ese description, decide si le sirve y arma la llamada con sus argumentos. Ese es el salto de un chatbot a un agente: un modelo de lenguaje con herramientas para actuar, memoria de lo que ya hizo y un ciclo (planear, llamar, leer el resultado, decidir) que repite hasta terminar.

Qué es MCP

El Model Context Protocol (MCP) es el estándar abierto que define cómo una aplicación de IA descubre y usa herramientas y datos externos. Anthropic lo publicó en noviembre de 2024 y en diciembre de 2025 lo donó a la Agentic AI Foundation, un fondo de la Linux Foundation. La revisión vigente de la especificación es la 2026-07-28.

Tiene tres papeles:

Los mensajes son JSON-RPC 2.0. El cliente pide tools/list para saber qué hay y tools/call para usar una herramienta. Hay dos transportes estándar: stdio, en el que el cliente arranca el servidor como proceso local en su computadora, y Streamable HTTP, para servidores remotos, con una autorización opcional por OAuth 2.1 que verá en la lección 5.

Por qué cambia el riesgo

Un servidor local corre con los permisos de su cuenta: lo que usted puede leer, él también. Las descripciones de sus herramientas entran al modelo como cualquier otro texto, y la especificación lo advierte: las herramientas son ejecución de código arbitrario y sus descripciones y anotaciones son no confiables, salvo que vengan de un servidor de confianza.

La inyección de instrucciones se trata en Prompt injection: cuando el texto engaña a la IA. Aquí importa quién escribió las herramientas de su agente, qué permisos les dio y qué pasa cuando cambian sin avisar.