Model Context Protocol (MCP)

¿Qué es el Model Context Protocol (MCP)?

El Model Context Protocol (MCP) es un estándar abierto que conecta agentes de IA y aplicaciones de IA con sistemas externos, por ejemplo sistemas de archivos, bases de datos, sistemas de negocio y herramientas para desarrolladores. Anthropic presentó MCP el 25 de noviembre de 2024; sus autores fueron David Soria Parra y Justin Spahr-Summers. El objetivo: una interfaz unificada entre un modelo de lenguaje y el mundo de las herramientas y los datos, para que cada proyecto de agentes no tenga que reinventar su conexión con las herramientas.

El papel conceptual central de MCP cabe en una frase: en 2026, MCP es el protocolo fundamental de agente a herramienta. Un agente, entendido como un LLM que usa herramientas de forma autónoma en un bucle, necesita una vía estandarizada para llamar a funciones, consultar datos y desencadenar acciones en sistemas externos. Esa es exactamente la capa que MCP estandariza. La delimitación oficial, hoy compartida por todo el sector, dice así: MCP es para capacidades (agente a herramienta), A2A es para colaboración (agente a agente). Google, Salesforce y Microsoft coinciden en esta formulación.

Arquitectura técnica

MCP se basa en JSON-RPC 2.0 sobre varios transportes:

• stdio para conexiones locales,
• originalmente HTTP con Server-Sent Events, sustituido desde la revisión de la especificación del 26 de marzo de 2025 (versión 2025-03-26) por Streamable HTTP.

Más allá del transporte, la revisión de marzo de 2025 trajo tres novedades importantes: compatibilidad con OAuth 2.1, batching de JSON-RPC y anotaciones de herramientas. La revisión 2025-06-18 volvió a eliminar el batching de la especificación. La edición de la especificación de noviembre de 2025 (versión 2025-11-25) añadió, entre otras cosas, tareas experimentales para solicitudes de larga duración con recuperación posterior del resultado, llamadas a herramientas durante el sampling y OpenID Connect Discovery para la autorización. A principios de 2026, MCP Apps (SEP-1865) estandarizó la entrega de interfaces de usuario interactivas desde servidores MCP a aplicaciones host como Claude y ChatGPT.

La actual revisión 2026-07-28 convierte MCP en un protocolo sin estado: desaparecen el handshake de initialize y las sesiones a nivel de protocolo, y cada solicitud lleva su propia versión de protocolo. Los servidores comunican las versiones y capacidades que admiten mediante el RPC obligatorio server/discover. Las tareas experimentales salen del protocolo central y pasan a una extensión oficial. Sampling, roots y logging quedan marcados como obsoletos (deprecated) y solo se mantienen durante un periodo de transición.

A nivel de arquitectura, MCP distingue entre aplicación host (p. ej., Claude, un agente de Copilot Studio), cliente y servidor MCP. El servidor MCP encapsula la conexión con un sistema externo concreto y expone sus capacidades en forma de herramientas. Desde el punto de vista del agente, toda fuente de datos y todo sistema de destino tienen así el mismo aspecto: una lista de herramientas claramente descritas, con su esquema, que el agente puede invocar.

Un efecto secundario relevante en la práctica: MCP se usa cada vez más también de agente a agente, exponiendo otro agente como «servidor» MCP con capacidades en forma de herramientas. Funciona, pero no es para lo que se diseñó MCP. Google y Microsoft recomiendan sistemáticamente usar A2A para la verdadera colaboración entre pares y limitar MCP a la capa de herramientas.

Gobernanza: la Linux Foundation y la Agentic AI Foundation (AAIF)

El paso de gobernanza más importante llegó el 9 de diciembre de 2025: Anthropic donó MCP a la recién fundada Agentic AI Foundation (AAIF), un Directed Fund de la Linux Foundation. La AAIF fue cofundada por Anthropic, Block y OpenAI, con el apoyo de nivel Platinum de Amazon Web Services, Bloomberg, Cloudflare, Google y Microsoft.

Entre los demás miembros Gold y Silver figuran, entre otros, Adyen, Cisco, Datadog, Docker, IBM, JetBrains, Okta, Oracle, SAP, Snowflake, Twilio, Hugging Face, Pydantic, Uber y SUSE, es decir, prácticamente todo el stack de IA agéntica. MCP se incorporó a la AAIF junto con goose de Block y AGENTS.md de OpenAI.

Un matiz importante para situarlo bien: la gobernanza técnica del día a día sigue en manos de los mantenedores actuales de MCP. El AAIF Governing Board se encarga de las inversiones estratégicas y de la captación de miembros. El paso a la Linux Foundation es, por tanto, la señal estructural más fuerte disponible contra una fragmentación en variantes propietarias de cada proveedor, aunque, como señaló la propia Cisco en diciembre de 2025, los distintos proyectos de protocolos operan en parte «todavía como islas».

Adopción de 2024 a 2026

La difusión de MCP fue explosiva a partir de finales de 2024:

• Block y Apollo ya usaban MCP en el lanzamiento de noviembre de 2024. Zed, Replit, Codeium (Windsurf) y Sourcegraph trabajaban entonces en integraciones.
• A principios de 2025 llegaron, entre otros, Cursor (compatibilidad con MCP en los parches 0.45.x) y Microsoft Copilot Studio (preview desde marzo de 2025), además de decenas más.
• OpenAI adoptó MCP oficialmente en marzo de 2025.
• Google DeepMind lo siguió en abril de 2025 (con un tuit de Demis Hassabis).
• Claude, de Anthropic, ofrece un directorio de más de 75 conectores MCP oficiales.
• Los SDK registran más de 97 millones de descargas mensuales entre Python y TypeScript.

Con ello, MCP no es un estándar de nicho, sino de facto la capa de herramientas aceptada universalmente por Anthropic, OpenAI, Google, Microsoft, AWS, SAP, Salesforce, ServiceNow, IBM y Cisco.

MCP en el stack de protocolos convergente

Tras doce meses de reorientación pública, el stack convergente para 2026 está claro. En él, MCP ocupa la capa de herramientas y A2A, la capa de agente a agente:

Cabe destacar que también AGNTCY (Cisco/LangChain/Galileo, donado a la Linux Foundation el 29 de julio de 2025) se apoya en MCP en lugar de sustituirlo; los agentes A2A y los servidores MCP se pueden localizar a través de los directorios de AGNTCY. La valoración honesta es esta: MCP + A2A es el stack convergente de la industria. AGNTCY es la capa de identidad y observabilidad allí donde haga falta; NANDA sigue siendo conceptual.

Seguridad: el modelo de confianza optimista

MCP es el habilitador adecuado del ecosistema de agentes, pero, en esencia, su modelo de confianza optimista no es la base de confianza adecuada. En 2025 se documentaron varias clases de ataques:

• Inyección indirecta de prompts a través de las descripciones de los servidores MCP.
• Tool Poisoning: la prueba de concepto con WhatsApp de Invariant Labs (abril de 2025).
• Look-alike Server Squatting: servidores falsos que imitan a los auténticos.
• Full-Schema Poisoning (CyberArk): cualquier parte de un esquema de herramienta es un posible punto de inyección, no solo la descripción.
• «Toxic Agent Flow» en la integración MCP de GitHub: un issue malicioso de GitHub obliga al agente a filtrar datos de repositorios privados.

Estos riesgos se agravan en las arquitecturas multiagente: cada nueva ventana de contexto de un subagente es una nueva superficie de ataque. La clase EchoLeak de exploits de inyección de prompts zero-click (CVE-2025-32711, Microsoft 365 Copilot, divulgada por Aim Labs en junio de 2025) fue un ataque contra un solo agente; sin embargo, los fallos de límites de confianza subyacentes escalan linealmente con el número de agentes que ingieren contenido no fiable.

La mitigación es, en 2026, responsabilidad de quien despliega: sandboxing, tokens OAuth 2.1 con alcance limitado (conforme a la especificación de autorización 2026-07-28), mínimo privilegio y, como regla general, que el agente no instale de forma autónoma servidores MCP desde registros no fiables. Si esto basta a gran escala es una pregunta abierta que en 2026 aún no tiene una respuesta definitiva.

Relevancia para la región DACH

Para la región DACH (Alemania, Austria y Suiza), la relevancia de MCP es muy alta, prácticamente ineludible. Quien en 2026 ponga en marcha un proyecto de agentes en una pyme o en un gran grupo escribe o consume servidores MCP, lo haya planeado o no.

• SAP Joule Studio 2.0 (Sapphire 2026) integra MCP de forma nativa, incluidos servidores MCP para ABAP, LeanIX e Integration Suite. Como la base instalada de SAP en DACH supera a cualquier otra plataforma, este es en la práctica el punto de entrada a MCP más importante de la región. La decisión de SAP de integrar Anthropic Claude como modelo de razonamiento principal en un entorno gobernado por SAP es a menudo, sobre todo para quienes despliegan en BFSI y salud, la opción de compra decisiva.
• Microsoft 365 Copilot, Copilot Studio, Salesforce Agentforce, n8n, LangGraph, Mastra y PydanticAI hablan todos MCP. La guía multiagente de Microsoft es explícita: «Use MCP for tool and data access. Use Linux Foundation A2A for cross-platform agent-to-agent messaging.»
• n8n, una empresa berlinesa de automatización de workflows, nativa en MCP y con licencia fair-code, ganó todavía más relevancia en 2026 cuando SAP anunció n8n integrado en Joule Studio (su valoración se duplicó hasta 5,2 mil millones de USD).

Notas de cumplimiento (a título informativo, no constituyen asesoramiento jurídico)

En cuanto los agentes cruzan, mediante saltos MCP y A2A, las fronteras entre varios proveedores de cómputo, zonas de residencia de datos y encargados del tratamiento, cada operador de un servidor MCP se convierte potencialmente en subencargado del tratamiento a efectos del RGPD. Esto alarga la cadena de contratos de encargo (art. 28 RGPD) y la hace más compleja. En los pasos transfronterizos se aplican además los arts. 44–49 RGPD. El Marco de Privacidad de Datos UE-EE. UU. sigue en vigor en 2026, pero está impugnado jurídicamente, por lo que las cláusulas contractuales tipo (SCC) y las evaluaciones de impacto de las transferencias siguen considerándose una salvaguarda. Estas notas tienen carácter informativo y no sustituyen el asesoramiento jurídico; las valoraciones mencionadas son provisionales según el estado actual y deben revisarse en función del sector (BFSI, salud, energía). En la práctica, conviene hacer auditables las llamadas a herramientas MCP: propagar IDs de correlación a través de cada llamada MCP y fijar las versiones de los modelos en producción.

Perspectivas y recomendación práctica

En 2026, MCP se ha consolidado como la capa de herramientas estándar del stack agéntico y, bajo la Linux Foundation, está estructuralmente protegido frente a la fragmentación. Para un proyecto de agentes, la recomendación racional por defecto es: MCP para herramientas, A2A para agentes. Todo lo demás es una desviación consciente del stack convergente y necesita justificación.

Tres consejos prácticos concretos para empezar: primero, usa los servidores MCP estándar de los proveedores y escribe servidores MCP propios solo para APIs internas propietarias, sin construir más agentes y servidores de los que exige el problema. Segundo, opera los servidores MCP detrás de OAuth 2.1 con scopes de mínimo privilegio y no permitas nunca la instalación autónoma de servidores desde registros desconocidos. Tercero, integra desde el primer día la observabilidad y la auditabilidad en la topología. La clase EchoLeak demuestra que cada conexión adicional de herramientas y agentes amplía la superficie de ataque. En 2026 sigue abierta la pregunta de a partir de qué momento el modelo de confianza optimista de MCP genera, a gran escala, más riesgo de seguridad que beneficio, un tema a vigilar en toda revisión de arquitectura responsable.