MCP for agent-to-agent comms may be the riskiest protocol you've never heard of
La adopción masiva de agentes de inteligencia artificial en millones de organizaciones está generando nuevas oportunidades para que los atacantes realicen acciones maliciosas, como la exfiltración de contenidos de bases de datos e información sensible tanto empresarial como personal. En los últimos cinco meses, Google y otras cuatro organizaciones han reconocido vulnerabilidades que explotan un agente dentro de una red objetivo para propagar instrucciones dañinas a otros agentes internos.
Esta técnica es una forma especial de inyección de comandos que no apunta al modelo de lenguaje en sí, sino a un agente particular, como uno de traducción o análisis de datos. Los mecanismos de seguridad dentro de estos agentes, si es que existen, son a menudo laxos y permiten que las instrucciones se envíen a otros agentes en la cadena. Debido a que el segundo agente confía explícitamente en el primero, sigue las instrucciones.
El investigador independiente Syed Anas Mohiuddin probó agentes de organizaciones como Google, JP Morgan Chase, Weviate, Rapid7, la dirección digital interministerial del gobierno francés y el gobierno federal de EE.UU. Sus ataques de prueba de concepto explotan brechas de confianza en el Protocolo de Contexto de Modelo (MCP), un estándar que permite a las aplicaciones y agentes de inteligencia artificial comunicarse entre sí dentro de una red interna.
Douglas McKee, director de inteligencia de vulnerabilidades en Rapid7, explicó que «los agentes de IA ofrecen a los atacantes un nuevo conjunto de conexiones para recorrer. Alguien planta texto en el contenido, un agente lo lee y luego lo pasa a otro agente como una tarea delegada normal, y ese segundo agente lo ejecuta porque confía en quien le entregó el trabajo. Cada pieza en esa cadena hizo exactamente lo que fue diseñada para hacer, lo que hace que esto sea tan difícil de detectar.»
Una vulnerabilidad en la red de Rapid7, identificada como CVE-2026-97228, tenía una calificación de severidad de solo 2.7 sobre 10. Rapid7 la solucionó el mes pasado. La vulnerabilidad que afectaba a Google era más grave, con una calificación de 8, y se originó en un conjunto de herramientas MCP para bases de datos que inicializaba su cliente HTTP sin utilizar una política de redireccionamiento de verificación.
Syed ha denominado a esta clase de ataques «pivotaje de protocolo», ya que los exploits funcionan cuando una aplicación o servidor utiliza MCP para asignar una tarea a un agente y el agente luego reenvía instrucciones maliciosas a otro agente utilizando un método de comunicación diferente, como el protocolo de Agente a Agente (A2A) de Google.
Markus Vervier, investigador en X41 D-Sec, señaló que el término más adecuado sigue siendo «inyección de comandos», y que la técnica de Syed es una subclase simple de eso. «El hecho de que el comando malicioso pueda provenir de un protocolo diferente y se manifieste cuando se usa sobre otro protocolo no es estrictamente necesario para que tales ataques funcionen.»
La técnica de pivotaje funcionó en cinco organizaciones que no tenían nada en común más allá del uso de MCP, lo cual es notable. MCP es nuevo y ya está en todas partes antes de haber sido suficientemente probado y fortalecido. En la prisa de las organizaciones por construir arquitecturas agenticas expansivas, han abandonado un principio de seguridad fundamental conocido como confianza cero.