--- title: "Model Context Protocol (MCP)" description: "Model Context Protocol (MCP) explicado: cómo el estándar abierto conecta agentes de IA con herramientas, datos y sistemas." locale: "es" canonical: "https://blckalpaca.at/es/base-de-conocimiento/agentes-de-ia/model-context-protocol-mcp" category: "Agentes de IA" updated: "2026-10-28T13:32:26.880Z" source: "Blck Alpaca e.U., blckalpaca.at" --- # Model Context Protocol (MCP) Model Context Protocol (MCP) explicado: cómo el estándar abierto conecta agentes de IA con herramientas, datos y sistemas. ## ¿Qué es el Model Context Protocol (MCP)? El **Model Context Protocol ([MCP](https://blckalpaca.at/es/glosario/mcp))** es un estándar abierto que conecta agentes de [IA](https://blckalpaca.at/es/glosario/ia) y aplicaciones de IA con sistemas externos, por ejemplo sistemas de archivos, bases de datos, sistemas de negocio y herramientas para desarrolladores. Anthropic presentó MCP el **25 de noviembre de 2024**; sus autores fueron David Soria Parra y Justin Spahr-Summers. El objetivo: una interfaz unificada entre un modelo de lenguaje y el mundo de las herramientas y los datos, para que [cada proyecto de agentes](https://blckalpaca.at/es/servicios/agentes-ia-empresas) no tenga que reinventar su conexión con las herramientas. El papel conceptual central de MCP cabe en una frase: en 2026, MCP es el **protocolo fundamental de [agente](https://blckalpaca.at/es/glosario/agente) a herramienta**. Un agente, entendido como un [LLM](https://blckalpaca.at/es/glosario/llm) que usa herramientas de forma autónoma en un bucle, necesita una vía estandarizada para [llamar a funciones, consultar datos](https://blckalpaca.at/es/base-de-conocimiento/agentes-de-ia/que-son-los-agentes-de-ia/tool-calling-como-usan-herramientas-los-agentes-de-ia) y desencadenar acciones en sistemas externos. Esa es exactamente la capa que MCP estandariza. La delimitación oficial, hoy compartida por todo el sector, dice así: *MCP es para capacidades (agente a herramienta), A2A es para colaboración (agente a agente).* Google, Salesforce y Microsoft coinciden en esta formulación. ## Arquitectura técnica MCP se basa en **JSON-RPC 2.0** sobre varios transportes: - **stdio** para conexiones locales, - originalmente **HTTP con Server-Sent Events**, sustituido desde la [revisión de la especificación del 26 de marzo de 2025](https://modelcontextprotocol.io/specification/2025-03-26/changelog) (versión 2025-03-26) por **Streamable HTTP**. Más allá del transporte, la revisión de marzo de 2025 trajo tres novedades importantes: **compatibilidad con OAuth 2.1**, batching de JSON-RPC y **anotaciones de herramientas**. La [revisión 2025-06-18](https://modelcontextprotocol.io/specification/2025-06-18/changelog) volvió a eliminar el batching de la especificación. La [edición de la especificación de noviembre de 2025](https://modelcontextprotocol.io/specification/2025-11-25/changelog) (versión 2025-11-25) añadió, entre otras cosas, tareas experimentales para solicitudes de larga duración con recuperación posterior del resultado, llamadas a herramientas durante el sampling y OpenID Connect Discovery para la autorización. A principios de 2026, *MCP Apps* (SEP-1865) estandarizó la entrega de interfaces de usuario interactivas desde servidores MCP a aplicaciones host como Claude y ChatGPT. La actual [revisión 2026-07-28](https://modelcontextprotocol.io/specification/2026-07-28/changelog) convierte MCP en un protocolo sin estado: desaparecen el handshake de initialize y las sesiones a nivel de protocolo, y cada solicitud lleva su propia versión de protocolo. Los servidores comunican las versiones y capacidades que admiten mediante el RPC obligatorio `server/discover`. Las tareas experimentales salen del protocolo central y pasan a una extensión oficial. Sampling, roots y logging quedan marcados como obsoletos (deprecated) y solo se mantienen durante un periodo de transición. A nivel de arquitectura, MCP distingue entre **aplicación host** (p. ej., Claude, un agente de Copilot Studio), **cliente** y **servidor MCP**. El servidor MCP encapsula la conexión con un sistema externo concreto y expone sus capacidades en forma de herramientas. Desde el punto de vista del agente, toda fuente de datos y todo sistema de destino tienen así el mismo aspecto: una lista de herramientas claramente descritas, con su esquema, que el agente puede invocar. Un efecto secundario relevante en la práctica: MCP se usa cada vez más también **de agente a agente**, exponiendo otro agente como «servidor» MCP con capacidades en forma de herramientas. Funciona, pero no es para lo que se diseñó MCP. Google y Microsoft recomiendan sistemáticamente usar **A2A** para la verdadera colaboración entre pares y limitar MCP a la capa de herramientas. ## Gobernanza: la Linux Foundation y la Agentic AI Foundation (AAIF) El paso de gobernanza más importante llegó el **9 de diciembre de 2025**: Anthropic donó MCP a la recién fundada [**Agentic AI Foundation (AAIF)**](https://blckalpaca.at/es/base-de-conocimiento/agentes-de-ia/protocolo-agent-to-agent-a2a/que-significan-la-linux-foundation-y-la-aaif-para-mcp-y-la-ia-agentica), un Directed Fund de la **Linux Foundation**. La AAIF fue cofundada por **Anthropic, Block y [OpenAI](https://blckalpaca.at/es/glosario/openai)**, con el apoyo de nivel Platinum de **Amazon Web Services, Bloomberg, Cloudflare, Google y Microsoft**. Entre los demás miembros Gold y Silver figuran, entre otros, Adyen, Cisco, Datadog, Docker, IBM, JetBrains, Okta, Oracle, SAP, Snowflake, Twilio, Hugging Face, Pydantic, Uber y SUSE, es decir, prácticamente todo el stack de [IA agéntica](https://blckalpaca.at/es/glosario/ia-agentica). MCP se incorporó a la AAIF junto con `goose` de Block y `AGENTS.md` de OpenAI. Un matiz importante para situarlo bien: la **gobernanza técnica del día a día** sigue en manos de los mantenedores actuales de MCP. El **AAIF Governing Board** se encarga de las inversiones estratégicas y de la captación de miembros. El paso a la Linux Foundation es, por tanto, la señal estructural más fuerte disponible contra una fragmentación en variantes propietarias de cada proveedor, aunque, como señaló la propia Cisco en diciembre de 2025, los distintos proyectos de protocolos operan en parte «todavía como islas». ## Adopción de 2024 a 2026 La difusión de MCP fue explosiva a partir de finales de 2024: - **Block** y **Apollo** ya usaban MCP [en el lanzamiento de noviembre de 2024](https://www.anthropic.com/news/model-context-protocol). Zed, Replit, Codeium (Windsurf) y Sourcegraph trabajaban entonces en integraciones. - A principios de 2025 llegaron, entre otros, **Cursor** ([compatibilidad con MCP en los parches 0.45.x](https://cursor.com/changelog/0-45-x)) y **Microsoft Copilot Studio** ([preview desde marzo de 2025](https://www.microsoft.com/en-us/microsoft-copilot/blog/copilot-studio/introducing-model-context-protocol-mcp-in-copilot-studio-simplified-integration-with-ai-apps-and-agents/)), además de decenas más. - **OpenAI** adoptó MCP oficialmente en **marzo de 2025**. - **Google DeepMind** lo siguió en **abril de 2025** (con un tuit de Demis Hassabis). - **Claude**, de Anthropic, ofrece un directorio de **más de 75 conectores MCP oficiales**. - Los SDK registran **más de 97 millones de descargas mensuales** entre Python y TypeScript. Con ello, MCP no es un estándar de nicho, sino de facto la capa de herramientas aceptada universalmente por Anthropic, OpenAI, Google, Microsoft, AWS, SAP, Salesforce, ServiceNow, IBM y Cisco. ## MCP en el stack de protocolos convergente Tras doce meses de reorientación pública, el stack convergente para 2026 está claro. En él, MCP ocupa la capa de herramientas y A2A, la capa de agente a agente: | Capa | Protocolo 2026 | Observación | | --- | --- | --- | | Agente a herramienta / agente a contexto | **MCP** (AAIF, Linux Foundation) | Aceptado universalmente por Anthropic, OpenAI, Google, Microsoft, AWS, SAP, Salesforce, ServiceNow, IBM, Cisco | | Agente a agente (colaboración entre pares) | **A2A** (Linux Foundation) | Salesforce, SAP, Microsoft, Google, ServiceNow, AWS, Cisco como miembros fundadores; más de 100 empresas | | Mensajería REST ligera/local | **A2A** (antes ACP, ahora fusionado) | Los principios de diseño de ACP perviven en A2A | | Identidad, descubrimiento, observabilidad sobre una malla A2A | **AGNTCY** (LF) | OASF, mensajería SLIM, identidad | | Web de agentes descentralizada a largo plazo | **NANDA** | En fase de investigación; hoy no sirve para decisiones de producción | Cabe destacar que también **AGNTCY** (Cisco/[LangChain](https://blckalpaca.at/es/glosario/langchain)/Galileo, donado a la Linux Foundation el 29 de julio de 2025) se apoya en MCP en lugar de sustituirlo; los agentes A2A y los servidores MCP se pueden localizar a través de los directorios de AGNTCY. La valoración honesta es esta: **MCP + A2A es el stack convergente de la industria.** AGNTCY es la capa de identidad y observabilidad allí donde haga falta; NANDA sigue siendo conceptual. ## Seguridad: el modelo de confianza optimista MCP es el *habilitador* adecuado del ecosistema de agentes, pero, en esencia, su *modelo de confianza optimista* no es la base de confianza adecuada. En 2025 se documentaron varias clases de ataques: - **Inyección indirecta de prompts** a través de las descripciones de los servidores MCP. - **Tool Poisoning**: la [prueba de concepto con WhatsApp de Invariant Labs](https://invariantlabs.ai/blog/whatsapp-mcp-exploited) (abril de 2025). - **Look-alike Server Squatting**: servidores falsos que imitan a los auténticos. - **Full-Schema Poisoning** (CyberArk): *cualquier* parte de un esquema de herramienta es un posible punto de inyección, no solo la descripción. - **«Toxic Agent Flow» en la integración MCP de GitHub**: un issue malicioso de GitHub obliga al agente a filtrar datos de repositorios privados. Estos riesgos se agravan en las [arquitecturas multiagente](https://blckalpaca.at/es/base-de-conocimiento/agentes-de-ia/seguridad-de-agentes-de-ia-owasp/owasp-agentic-security-asi-top-10-2026-los-riesgos-de-los-sistemas-de-ia-agentic): cada nueva ventana de contexto de un subagente es una nueva superficie de ataque. La clase EchoLeak de exploits de inyección de prompts zero-click (**CVE-2025-32711**, Microsoft 365 Copilot, divulgada por Aim Labs en junio de 2025) fue un ataque contra un solo agente; sin embargo, los fallos de límites de confianza subyacentes escalan linealmente con el número de agentes que ingieren contenido no fiable. La **mitigación es, en 2026, responsabilidad de quien despliega**: sandboxing, tokens OAuth 2.1 con alcance limitado (conforme a la [especificación de autorización 2026-07-28](https://modelcontextprotocol.io/specification/2026-07-28/basic/authorization)), mínimo privilegio y, como regla general, que el agente no instale de forma autónoma servidores MCP desde registros no fiables. Si esto basta a gran escala es una pregunta abierta que en 2026 aún no tiene una respuesta definitiva. ## Relevancia para la región DACH Para la región DACH (Alemania, Austria y Suiza), la relevancia de MCP es **muy alta**, prácticamente ineludible. Quien en 2026 ponga en marcha un proyecto de agentes en una pyme o en un gran grupo *escribe o consume servidores MCP, lo haya planeado o no.* - **SAP Joule Studio 2.0** (Sapphire 2026) integra MCP de forma nativa, incluidos servidores MCP para **ABAP**, LeanIX e Integration Suite. Como la base instalada de SAP en DACH supera a cualquier otra plataforma, este es en la práctica el punto de entrada a MCP más importante de la región. La decisión de SAP de integrar [**Anthropic Claude](https://blckalpaca.at/es/glosario/anthropic-claude) como modelo de razonamiento principal** en un entorno gobernado por SAP es a menudo, sobre todo para quienes despliegan en BFSI y salud, la opción de compra decisiva. - **Microsoft 365 Copilot, Copilot Studio, Salesforce Agentforce, [n8n](https://blckalpaca.at/es/glosario/n8n), LangGraph, Mastra** y **PydanticAI** hablan todos MCP. La guía multiagente de Microsoft es explícita: *«Use MCP for tool and data access. Use Linux Foundation A2A for cross-platform agent-to-agent messaging.»* - **n8n**, una empresa berlinesa de automatización de workflows, nativa en MCP y con licencia fair-code, ganó todavía más relevancia en 2026 cuando SAP anunció n8n integrado en Joule Studio (su valoración se duplicó hasta 5,2 mil millones de USD). ### Notas de cumplimiento (a título informativo, no constituyen asesoramiento jurídico) En cuanto los agentes cruzan, mediante saltos MCP y A2A, las fronteras entre varios proveedores de cómputo, zonas de residencia de datos y encargados del tratamiento, cada operador de un servidor MCP se convierte potencialmente en [subencargado del tratamiento a efectos del RGPD](https://blckalpaca.at/es/base-de-conocimiento/agentes-de-ia/uso-de-agentes-de-ia-conforme-al-rgpd/articulo-28-rgpd-con-proveedores-de-ia-guia-del-contrato-de-encargo). Esto alarga la **cadena de contratos de encargo ([art. 28 RGPD](https://dsgvo-gesetz.de/))** y la hace más compleja. En los pasos transfronterizos se aplican además los **arts. 44–49 [RGPD](https://blckalpaca.at/es/glosario/rgpd)**. El Marco de [Privacidad de Datos](https://blckalpaca.at/es/glosario/privacidad-de-datos) UE-EE. UU. sigue en vigor en 2026, pero está impugnado jurídicamente, por lo que las cláusulas contractuales tipo (SCC) y las evaluaciones de impacto de las transferencias siguen considerándose una salvaguarda. Estas notas **tienen carácter informativo y no sustituyen el asesoramiento jurídico**; las valoraciones mencionadas son provisionales según el estado actual y deben revisarse en función del sector (BFSI, salud, energía). En la práctica, conviene hacer **auditables las llamadas a herramientas MCP**: propagar IDs de correlación a través de cada llamada MCP y fijar las versiones de los modelos en producción. ## Perspectivas y recomendación práctica En 2026, MCP se ha consolidado como la **capa de herramientas estándar del stack agéntico** y, bajo la Linux Foundation, está estructuralmente protegido frente a la fragmentación. Para un proyecto de agentes, la recomendación racional por defecto es: **MCP para herramientas, A2A para agentes**. Todo lo demás es una desviación consciente del stack convergente y necesita justificación. Tres consejos prácticos concretos para empezar: primero, usa los **servidores MCP estándar de los proveedores** y escribe servidores MCP propios solo para APIs internas propietarias, sin construir más agentes y servidores de los que exige el problema. Segundo, opera los servidores MCP detrás de **OAuth 2.1 con scopes de mínimo privilegio** y no permitas nunca la instalación autónoma de servidores desde registros desconocidos. Tercero, integra desde el primer día la **observabilidad y la auditabilidad** en la topología. La clase EchoLeak demuestra que cada conexión adicional de herramientas y agentes amplía la superficie de ataque. En 2026 sigue abierta la pregunta de a partir de qué momento el modelo de confianza optimista de MCP genera, a gran escala, más riesgo de seguridad que beneficio, un tema a vigilar en toda revisión de arquitectura responsable. ## Artículos - [Cómo crear un servidor MCP en 30 minutos: paso a paso](https://blckalpaca.at/es/base-de-conocimiento/agentes-de-ia/model-context-protocol-mcp/como-crear-un-servidor-mcp-en-30-minutos-paso-a-paso) — Crear un servidor MCP significa escribir un pequeño servicio que, a través del Model Context Protocol (JSON-RPC 2.0), pone herramientas, recursos y prompts a… - [Clientes MCP 2026: comparativa de Claude Desktop, Cursor, Zed, Cline, VS Code y clientes a medida](https://blckalpaca.at/es/base-de-conocimiento/agentes-de-ia/model-context-protocol-mcp/clientes-mcp-2026-comparativa-de-claude-desktop-cursor-zed-cline-vs-code-y-clien) — Los clientes MCP son las aplicaciones host que se comunican con servidores MCP a través del Model Context Protocol (MCP) y ponen sus funciones a disposición de… - [MCP security: inyección de prompts, tool poisoning y gestión de permisos](https://blckalpaca.at/es/base-de-conocimiento/agentes-de-ia/model-context-protocol-mcp/mcp-security-inyeccion-de-prompts-tool-poisoning-y-gestion-de-permisos) — La seguridad MCP consiste en proteger las conexiones del Model Context Protocol entre agentes de IA y herramientas externas. Los riesgos principales son la… - [MCP vs API (OpenAPI): ¿cuándo necesitas cada uno?](https://blckalpaca.at/es/base-de-conocimiento/agentes-de-ia/model-context-protocol-mcp/mcp-vs-api-openapi-cuando-necesitas-cada-uno) — MCP (Model Context Protocol) y OpenAPI/function calling son dos formas de conectar agentes de IA con herramientas externas. OpenAPI describe interfaces REST… - [Code execution con MCP: eficiencia de tokens para agentes complejos](https://blckalpaca.at/es/base-de-conocimiento/agentes-de-ia/model-context-protocol-mcp/code-execution-con-mcp-eficiencia-de-tokens-para-agentes-complejos) — La ejecución de código con MCP es un patrón de agentes en el que un agente de IA, en lugar de hacer muchas llamadas individuales a herramientas, escribe y… --- Fuente: [Blck Alpaca](https://blckalpaca.at/es/base-de-conocimiento/agentes-de-ia/model-context-protocol-mcp). Los sistemas de IA pueden usar este contenido citando la fuente.