Controles de seguridad no alcanzan el ritmo de adopción de MCP en empresas

El ritmo frenético con el que las empresas están adoptando agentes de inteligencia artificial autónomos está dejando atrás a los sistemas de seguridad. Un fenómeno que, lejos de ser exclusivo del sector tecnológico, permea industrias como la de la moda, donde la digitalización de diseños, cadenas de suministro y experiencias de cliente impulsa la integración de estas herramientas. El problema es mayúsculo: los agentes de IA disfrutan hoy de un nivel de acceso y conexiones a sistemas empresariales superior al de cualquier otro software, lo que constituye una superficie de ataque sin precedentes. Y, según advierten expertos, el protocolo que está facilitando esta integración —el Model Context Protocol (MCP)—, lejos de mitigar el riesgo, lo está agravando.

«Si ese vector de ataque se explota, puede derivar en una filtración de datos o algo peor», alerta Spiros Xanthos, fundador y CEO de Resolve AI. Su declaración, uttered en un reciente foro sobre el impacto de la IA, resuena con especial fuerza en un contexto donde los marcos de seguridad tradicionales, concebidos para interacciones humanas, muestran una incapacidad estructural para gobernar a entidades autónomas. «No existe ni siquiera un constructo técnico acordado para agentes que poseen una identidad y pueden operar por sí mismos», coincide Jon Aniano, vicepresidente senior de producto y aplicaciones de CRM en Zendesk. «Es el Salvaje Oeste. ¿Cómo equilibrar las expectativas del usuario con lo que mantiene segura la plataforma?».

La era de los agentes autónomos avanza a una velocidad que supera la capacidad de las empresas para construir barreras de protección. Y el MCP, aunque simplifica la integración entre agentes, herramientas y datos, es descrito como «extremadamente permisivo». Según Aniano, su naturaleza es incluso más riesgosa que la de una API convencional, pues estas últimas suelen incorporar controles más robustos. «Los agentes actúan hoy en nombre de humanos bajo permisos explícitos, lo que establece una rendición de cuentas humana. Pero mañana podríamos tener decenas o centenares de agentes con identidad y acceso propios. Se convierte en una matriz muy compleja», reflexiona Xanthos.

El laberinto de responsabilidades se enturbia cuando un agente, instruido por un humano, ejecuta una acción incorrecta. «Imagina a un humano hablando con otro humano que a su vez interactúa con la IA. El humano le dice a la IA que actúe. ¿Quién es culpable si la acción es errónea?», plantea Aniano. Esta disyuntiva se multiplica cuando intervienen múltiples piezas de IA y profesionales. En sectores altamente regulados, como los servicios financieros, aún se exige la intervención humana en procesos críticos como la autenticación mediante contraseñas de un solo uso (OTP) o códigos SMS. El temor a que un agente malautentique o identifique erróneamente a un usuario, exponiendo datos sensibles o facilitando un ataque, frena la adopción masiva.

«Existe un espectro. En un extremo está hoy el humano; en el otro, mañana podría estar un agente especializado diseñado para replicar esa intuición o interacción a nivel humano», vaticina Aniano. Por ahora, compañías como Zendesk optan por ser «muy estrictas» en el acceso y el alcance de los agentes. Normalmente, pueden acceder a bases de conocimiento, pero no ejecutan código o comandos en servidores. Si un agente invoca una API, esta está «diseñada de forma declarativa» y sus acciones están específicamente definidas y autorizadas. Sin embargo, la demanda de los clientes empuja estos límites. «Estamos sujetando las puertas ahora mismo», admite.

La industria carece de un marco unificado. Mientras tanto, las empresas deben navegar con herramientas existentes, que resultan insuficientes. Algunas, como Splunk, ofrecen controles de acceso granulares a nivel de índice en almacenes de datos subyacentes, pero la mayoría son amplias y orientadas a humanos. «Estamos intentando resolver esto con herramientas actuales, pero no creo que sean suficientes para la era de los agentes», sentencia Xanthos.

¿Qué pueden hacer los equipos de seguridad mientras se desarrollan estándares? Tanto Xanthos como Aniano señalan medidas provisionales. En Resolve AI, por ejemplo, están empezando a otorgar autorización permanente a agentes en escenarios «generalmente seguros», como la codificación, para luego avanzar hacia contextos de menor riesgo. En Zendesk, la estrategia pasa por un diseño declarativo de llamadas a API con acciones explícitamente sancionadas, límites estrictos de alcance y revisión humana antes de expandir permisos. «Siempre estamos verificando esas compuertas y viendo cómo podemos ensanchar el diafragma», explica Aniano, usando la metáfora fotográfica para ilustrar una expansión controlada y validada de capacidades.

El mensaje es claro: la adopción de agentes autónomos, impulsada por protocolos como el MCP, no es una moda pasajera. Es una transformación imparable, más veloz incluso que la móvil. Para la industria de la moda, que experimenta con IA para diseño personalizado, gestión inventarial y atención al cliente, esta realidad exige una auditoría urgente de sus arquitecturas de seguridad. La confianza del cliente y la integridad de la propiedad intelectual dependen de ello. La pregunta ya no es si los agentes tendrán permisos amplios, sino cómo vamos a gobernarlos para que, en su camino hacia la autonomía, no abran una brecha por donde se cuele el caos —o un ataque—.