MCP Security for Enterprise Organizations: Experiencias reales y defensa avanzada

Introducción

Hola, ¿cómo estás? Espero que muy, muy bien.

Pasó literalmente un día de la vorágine de la Ekoparty y un poco más de una semana del evento de la comunidad que llevamos con el super equipo de ThreatX Security. Este blog post será algo más personal al inicio, para luego enfocarnos de lleno en lo técnico del protocolo MCP, así tienen en detalle lo poco que pudimos ver en la presentación de la Ekoparty.

En lo personal, fue mi primera charla en la Eko. Me tocó darla con la village de AI Resilience Hub, creada y llevada con pasión, amor y dedicación por Dany y su equipo.

Como todos sabemos, la Eko es sinónimo de nivel, tanto en el tipo de evento como en los expositores. Obviamente varía muchísimo, pero ese pensamiento está generalizado en el subconsciente de la comunidad de seguridad informática de Argentina y LATAM. Y esto mismo fue lo que hizo que dudara tanto en siquiera pensar en qué podría compartir…

El proceso creativo y la duda

Mi idea inicial era crear algo novedoso, totalmente nuevo y de calidad, basado en una investigación personal compleja, con muchísimos meses invertidos y todo el "biri biri" que te puedas imaginar. Este era el escenario ideal (a veces pienso que podría ser mi excusa para no hacer nada), y suelen ser las charlas más lindas de ver porque se nota ese extra de investigación y apropiación del conocimiento.

En mi caso no lo fue, claramente, pero sí me marcó el proceso interno para llegar a la conclusión de que no todo tiene que ser increíblemente novedoso o complejo (como la investigación para explotar CUDA de NVIDIA, ¡kudos para los researchers que presentaron eso, fue espectacular!). A veces, lo valioso es mostrar un proceso específico de trabajo e investigación que le sirva a otra persona.

Esto me llevó a crear “MCP Security for Enterprise Organizations”, una charla que conecta lo que hago actualmente en mi empresa, mi tesis de posgrado y lo que me apasiona dentro de este increíble mundo de infosec.

✦Perspectiva

Consejo de alguien que se tira a la pileta

Si estás pensando en una idea, incluso de forma superficial, y hay una parte de vos que grita "¡quiero hacerlo!", HÁGANLO. Esa incomodidad es crecimiento puro.

Si tenés ganas de presentar algo, de compartir tu conocimiento o investigación, escribime por LinkedIn o a cualquier integrante de Threat X. Podemos hacerlo posible en nuestro espacio, nuestras meetups o buscar otro evento para tu próxima gran charla.

¡Te deseo todo lo mejor, a seguir forzando la máquina que nosotros podemos!

---

Parte Técnica: MCP Security, Ataques reales y Defensas recomendadas

Si te perdiste la charla o te quedaste con dudas, acá vamos a profundizar en los aspectos técnicos.

¿Qué es MCP y por qué importa en seguridad de agentes AI?

El Model Context Protocol (MCP) es el estándar abierto que conecta LLMs y agentes AI con herramientas externas, permitiendo automatización, llamadas vía APIs y acceso seguro a datos. Podes imaginarlo como el "USB" para las aplicaciones de IA.

• Spec oficial: Github MCP
• Intro Anthropic: Anthropic News

Componentes Clave y Arquitectura

Para entender la superficie de ataque, primero debemos entender las piezas del tablero:

1. MCP Server: Expone herramientas (tools), recursos (resources) y prompts. Es el que "tiene" la capacidad de acción.
2. MCP Client: Realiza invocaciones sobre el servidor, gestiona la orquestación y validación. Es el "cerebro" que decide qué usar.
3. Transporte: Puede ser local (STDIN/pipes) para máxima velocidad o remoto (HTTP, SSE, WebSocket) para arquitecturas distribuidas.

El Panorama de Amenazas: Ataques Documentados

El ecosistema MCP introduce vectores de ataque fascinantes y peligrosos. No es solo "hackear una API", es hackear la lógica de un agente.

1. Tool Poisoning & Spoofing ¿Qué pasa si la herramienta que el agente cree usar no es la real?

• Injection: Inyección de instrucciones en la metadata de las herramientas para confundir al LLM.
• Spoofing: Servidores MCP falsos que imitan a los legítimos para interceptar datos.

2. Remote Code Execution (RCE) El clásico, pero potenciado. Si un agente tiene permiso para ejecutar scripts (como un servidor MCP de Python), un prompt malicioso puede llevar a la ejecución de comandos arbitrarios, manipulación de archivos de configuración y escalada de privilegios.

3. Raid de Prompt Injection Ataques indirectos donde el payload no viene del usuario, sino de los datos que el agente lee (un documento, una transcripción de YouTube, una base de datos vectorial Chroma DB). El agente lee el dato, se "infecta" y ejecuta la instrucción maliciosa.

⚠Señal de Riesgo

Riesgo de Cadena de Suministro

Ten cuidado con los paquetes MCP en repositorios públicos. Ya existen casos de typosquatting y paquetes falsos en PyPI diseñados para robar credenciales de entorno.

Estrategias de Defensa Modernas

Basado en field guides y frameworks actuales (como el A2AS), estas son las capas de defensa que deberías implementar:

Aislamiento y Sandboxing No confíes en el runtime por defecto.

• Usa Firecracker o gVisor para aislar cada ejecución de herramienta.
• Implementa overlays de sistema de archivos efímeros (solo lectura o destrucción tras uso).
• Control estricto de Egress: ¿Por qué tu calculadora necesita conectar a internet? Bloquealo.

Autenticación y Secretos

• Zero Trust: Denegar todo acceso por defecto.
• Rotación de Secretos: Nunca montes tokens directamente en variables de ambiente persistentes. Usa Vaults y proyección de volúmenes en memoria.
• mTLS: Si usas transporte remoto, asegura el canal con autenticación mutua.

Validación de Inputs (Human-in-the-loop) Aunque automatizamos, la validación estricta de JSON-schemas es vital.

• Usa Linters de seguridad (semgrep) en tiempo real sobre los payloads.
• Implementa Rate Limiting para prevenir ataques de DoS económico o fuerza bruta.

Arquitectura Segura de Referencia

Una implementación robusta debería dividir responsabilidades en zonas:

---

Recursos Imprescindibles

Si querés profundizar, acá tenés la "bibliografía" de la charla:

• Presentación: Descargar PDF de la charla
• Research: Systematic Analysis of MCP Security (arXiv)
• Defensa: A2AS Framework: Agentic AI Runtime Security
• Herramientas: MCP Safety Scanner

El mundo de la seguridad en agentes de IA recién empieza. Es un terreno fértil para investigar, romper y, sobre todo, construir defensas más inteligentes.

¡Nos vemos en la próxima!

Pon a Prueba tu Conocimiento Técnico