Bienvenidos a la jungla: Lo que encontramos dentro de 15.465 servidores públicos de MCP

En 2024, MCP (Protocolo de Contexto de Modelo) se propuso convertirse en el USB-C de la IA: un estándar para conectar modelos, agentes e IDE con herramientas y datos. El protocolo cumplió su cometido. Miles de desarrolladores crearon servidores y las empresas los integraron en los flujos de trabajo de sus agentes.

Sin embargo, el ecosistema que lo rodeaba no estuvo a la altura. A principios de este año, nuestro equipo de OX Security detectó vulnerabilidades críticas en el código fuente de MCP de Anthropic, descargado más de 150 millones de veces. En esta ocasión, analizamos lo que la gente instala realmente: servidores publicados por la comunidad en los mercados de MCP más populares. No encontramos ningún tipo de control ni revisión. La seguridad es una recomendación, no una política.

Un mercado sin protección

En 2012, Google implementó Bouncer, un escáner automatizado que analizaba las aplicaciones de Android en busca de malware antes de que llegaran a los usuarios. No era perfecto: los investigadores lograron colar malware. Pero existía. Los mercados de MCP no tienen un equivalente. Cualquiera puede crear un servidor, implementarlo y publicarlo.

Ni siquiera una revisión podría solucionar el problema. El año pasado, en RSAC y OWASP, presentamos "En GitHub confiamos: 10 maneras de sufrir un ataque", un análisis sobre cómo los desarrolladores confían excesivamente en lo que ven en un repositorio. MCP repite ese error. Los servidores remotos de MCP pueden ejecutar código de backend que difiere completamente de lo que muestra su repositorio público. La revisión de código indica lo que publicó el desarrollador, no lo que ejecuta el servidor.