Cómo los servidores MCP pueden exponer secretos empresariales

Los servidores MCP pueden exponer secretos empresariales a través de archivos de configuración en texto plano, permisos excesivos e inyección de instrucciones, a menudo antes de que los equipos de seguridad sepan que el servidor está en funcionamiento. Con la adopción creciente de agentes de IA en los sistemas empresariales, esta exposición puede convertirse silenciosamente en una brecha importante en la seguridad de los servidores MCP. El Protocolo de Contexto de Modelo (MCP) permite a los agentes de IA acceder a las herramientas y datos, como documentación interna e infraestructura en la nube, que son fundamentales para los sistemas empresariales. Detrás de esa conveniencia, el servidor MCP que conecta esas herramientas y datos a los sistemas empresariales normalmente posee las claves de todo lo que toca: credenciales, claves de cuentas de servicio, tokens de API y otros secretos. Cada organización debería cuestionarse ahora qué secretos está entregando a la IA y qué tan bien están protegidos una vez que llegan a un servidor MCP.

¿Qué es el Protocolo de Contexto de Modelo (MCP)?

El Protocolo de Contexto de Modelo (MCP) es un estándar abierto, introducido originalmente por Anthropic, que permite a los asistentes de IA conectarse a herramientas y datos externos. En lugar de limitarse al conocimiento existente del modelo, un agente de IA puede usar MCP para acceder a sistemas en vivo, como recuperar un registro de una base de datos, abrir un archivo o llamar a una API. Lo que hace posible esto es el servidor MCP: un pequeño programa que se sitúa entre la IA y el sistema que desea usar, exponiendo las acciones específicas que el agente de IA puede realizar. Con el servidor MCP como intermediario, aquí es donde reside el mayor riesgo, porque para actuar en un sistema, un servidor MCP requiere las credenciales de ese sistema. Los agentes ya no solo generan respuestas; también toman medidas al recuperar datos confidenciales y decidir qué herramientas utilizar mediante Identidades No Humanas (NHI, por sus siglas en inglés), como claves API y tokens. Debido a que MCP convierte a los agentes de IA en identidades activas que operan en sistemas empresariales, un secreto filtrado no solo expone datos, sino que también otorga a un atacante la capacidad de actuar sobre ellos.

Formas en que los servidores MCP pueden exponer secretos

La conveniencia de MCP conlleva una desventaja: el mismo servidor que permite a un agente de IA realizar un trabajo significativo también es un centro de credenciales. Dado que MCP es innovador y avanza rápidamente, muchos servidores se construyen e implementan sin las medidas de seguridad que se deberían esperar de algo que contiene claves de producción. Estas son algunas de las formas más comunes en que los secretos pueden quedar expuestos en los servidores MCP.

Credenciales en texto plano en archivos de configuración

Los servidores MCP almacenan rutinariamente los tokens y claves que necesitan en archivos de configuración locales, a menudo en texto plano. En muchas configuraciones, poner en marcha un servidor implica pegar una cadena de configuración que contiene las propias credenciales. Si ese archivo se deja en un disco, es muy probable que se pase por alto, se copie entre máquinas o se confirme accidentalmente en un repositorio Git. Una vez que un atacante llega a ese servidor, todo lo que contiene es legible.

Dispersión de credenciales en servidores no gestionados

Sin una ubicación central para almacenar secretos, cada agente de IA termina gestionando los suyos propios. Las mismas credenciales, incluidas claves API y tokens, se dispersan en archivos de configuración y variables de entorno, y se acumulan copias duplicadas en desarrollo, pruebas y producción. Debido a que nadie tiene un inventario completo de estos secretos, rara vez se rotan, lo que los mantiene válidos y estáticos indefinidamente. Cada secreto disperso y de larga duración puede ser robado por un atacante, creando otro posible punto de entrada para una brecha.

Inyección de instrucciones

No todas las filtraciones requieren que un atacante se infiltre. Debido a que los agentes de IA leen y actúan sobre el material que se les proporciona, un atacante puede ocultar instrucciones dentro de un documento, un ticket de soporte o una página web que el agente accede. Como resultado, el agente puede seguir esas instrucciones ocultas, tratándolas como comandos legítimos, en lo que se conoce como inyección de instrucciones. Los agentes pueden ser engañados para que hagan un mal uso de sus herramientas o entreguen los secretos que se les confiaron proteger.

Permisos excesivos

Para evitar errores de autorización durante el desarrollo, los desarrolladores a menudo otorgan permisos amplios a un servidor MCP y siguen adelante. Sin embargo, esos ámbitos generosos tienden a llegar a producción si se olvidan. Cuando no se aplica el principio de mínimo privilegio, un agente de IA puede alcanzar mucho más allá de lo necesario para su tarea, lo que significa que cualquier compromiso único expone mucho más de lo que debería.

Riesgo de servidores expuestos

Cualquier persona puede publicar un servidor MCP, lo que supone un problema de cadena de suministro a punto de ocurrir. Conectarse a un servidor no confiable puede volverse en tu contra, como demostró CVE-2025-6514. En mcp-remote (un proxy OAuth descargado más de 400,000 veces que se ejecuta en la máquina cliente), un servidor malicioso podría desencadenar una inyección de comandos del sistema operativo, lo que llevaría a la ejecución remota de código en la máquina que ejecuta el proxy y otorgaría a los atacantes acceso para robar sus credenciales.

Cómo proteger los secretos empresariales en los servidores MCP

MCP cambia dónde viven los secretos y quién puede acceder a ellos, pero las medidas para protegerlos deben aplicarse intencionalmente a esta nueva capa de IA. Aquí hay varias mejores prácticas que contrarrestan las vías de exposición:

Deja de codificar secretos y centralízalos. Extraer credenciales de archivos de configuración, variables de entorno y código fuente, y colocarlas en un único almacén gestionado, es la solución tanto para la exposición en texto plano como para la dispersión de credenciales. En lugar de que los secretos estén dispersos en los servidores, los agentes de IA recuperan lo que necesitan de una fuente gobernada en tiempo de ejecución.
Utiliza credenciales de corta duración y rótalas automáticamente. Los secretos estáticos y de larga duración son valiosos para los atacantes porque no cambian. Reemplazarlos con credenciales emitidas bajo demanda y que expiran por sí solas minimiza la ventana de oportunidad para que los atacantes las exploten, y la rotación automática significa que un secreto filtrado queda inútil una vez expuesto.
Aplica el principio de mínimo privilegio. Da a cada agente de IA acceso solo a los sistemas y datos que su tarea requiere, de modo que un agente comprometido exponga solo una fracción de lo que uno con permisos excesivos expondría.
Mantén a un humano en el circuito para acciones sensibles. Recuperar un secreto sin enmascarar, eliminar un registro o acceder a producción debe requerir confirmación explícita. Ese punto de control suele ser lo que detiene un intento de inyección de instrucciones para que no se convierta silenciosamente en una brecha grave.
Cifra los secretos con un modelo de confianza cero y conocimiento cero. Los secretos deben cifrarse de extremo a extremo, recuperarse solo en el momento de uso y nunca ser legibles por la plataforma que los almacena. Un enfoque de conocimiento cero significa que incluso una bóveda comprometida no produce nada que un atacante pueda leer.
Registra y audita todo lo que hace el agente. Los agentes autónomos actúan rápido y sin supervisión directa, por lo que un registro completo de lo que se accedió y cuándo es esencial para el cumplimiento y para diagnosticar un incidente posteriormente.
Inventaría tus servidores MCP. No puedes proteger lo que no ves. Mantener visibilidad de cada servidor MCP en tu entorno elimina la IA en la sombra: identidades no gestionadas y olvidadas que mantienen credenciales activas y nunca aparecen en una revisión de seguridad.

Repensar la gestión de secretos para agentes de IA

MCP ha añadido silenciosamente una nueva capa a la empresa: una que se sitúa entre los agentes de IA y casi todos los sistemas que merecen protección, y que contiene las credenciales para acceder a ellos. Las organizaciones deben aplicar el mismo rigor que aplicarían a cualquier otro sistema de producción que contenga secretos, lo que significa que centralizar las credenciales y controlar a qué puede acceder cada agente son esenciales. Herramientas diseñadas para esto, como Keeper Secrets Manager, enmascaran los secretos por defecto y requieren confirmación antes de revelar cualquier valor, de modo que los agentes de IA pueden usar credenciales sin dejarlas expuestas, ayudando a las organizaciones a asegurar la capa MCP. Nota: Este artículo fue redactado y contribuido amablemente para nuestra audiencia por Ashley D’Andrea, redactora de contenido en Keeper Security.