MCP sin seguridad es un mapa que le regalás al que lo encuentra

Esta semana Wiz reportó explotación activa de una falla de auth en MCP. Atacantes entrando a tools y servicios conectados. No me sorprendió: el problema real es que la mayoría trata la seguridad de un MCP como algo que se agrega al final, después de que ya funciona.

La misma semana estuve armando la arquitectura de un MCP para un cliente que quiere darle a su equipo de ventas acceso a datos operativos. Ninguna de las decisiones fue reactiva. Estaban ahí antes de escribir la primera tool:

• El proceso público corre con un usuario de base de datos sin permisos sobre lo sensible. La seguridad la impone la base, no un if que alguien borra en el próximo refactor.
• Nadie entra anónimo. Cada persona tiene su token por magic link, con auditoría y revocación real.
• Una tool que consulta el estado de un pedido pide también el mail o el CUIT. Sin eso, cualquiera itera IDs y se lleva el mapa completo de pedidos del cliente.

Nada de esto es una idea mía. Es mínimo privilegio e identidad real, lo de siempre, aplicado a un protocolo nuevo que un agente puede invocar solo, sin que nadie mire cada llamada.

Vengo insistiendo desde el año pasado con que MCP es la tecnología más subestimada de este ciclo: agilidad de herramientas, permisos por usuario, todo conectado sin rehacer nada de cero. Lo que no está tan discutido es que ese mismo poder, mal diseñado, es el mapa completo de lo que puede pasar si alguien más lo encuentra primero.

Un MCP mal diseñado no es un servidor con un bug. Es un mapa completo de tu operación, esperando que alguien más lo encuentre primero.

Mi apuesta: en 2027 la seguridad de MCP va a ser un ítem de contrato, no un detalle técnico. Las empresas que lo piensen ahora van a cobrar distinto por eso.