- ¿Qué es el envenenamiento de herramientas MCP? El envenenamiento de herramientas MCP es un ataque en el que se ocultan instrucciones maliciosas dentro de la descripción de una herramienta expuesta a través del Protocolo de Contexto del Modelo (MCP). El agente de IA las lee y las sigue; el usuario nunca las ve.
- ¿Por qué funciona: Un agente trata cada descripción de herramienta como un contexto confiable. El envenenamiento de herramientas convierte esa confianza en una inyección indirecta de mensajes.
- Que puede hacer: extraer claves y credenciales SSH, redirigir mensajes o hacer que el agente haga un uso indebido de otras herramientas legítimas.
- Variantes principales: Instrucciones ocultas en las descripciones de las herramientas, cambios en las herramientas (una herramienta se modifica después de que usted la apruebe) y manipulación de herramientas (un servidor manipula la forma en que el agente utiliza las herramientas de otro servidor).
- Primera defensa: Sepa qué servidores y herramientas MCP utilizan sus agentes y repositorios, verifíquelos antes de adoptarlos, fije las versiones y restrinja el acceso de cada agente.
Explicación del envenenamiento por herramientas #
El envenenamiento de herramientas MCP es un tipo de ataque contra agentes de IA que utilizan el Protocolo de contexto modelo, el abierto standard Esto permite a los agentes conectarse a herramientas y fuentes de datos externas. Cada servidor MCP publica una lista de herramientas con su nombre, descripción y parámetros. El modelo del agente lee estas descripciones para decidir cuándo y cómo llamar a cada herramienta.
En un ataque de envenenamiento de herramientas, el atacante oculta instrucciones dentro de los metadatos. Una herramienta que parece una calculadora inofensiva puede contener un texto que le indica al modelo que lea un archivo privado y pase su contenido como parámetro. El usuario que aprueba la herramienta ve una etiqueta breve e inofensiva. El modelo ve y sigue la descripción completa.
Investigadores de seguridad nombraron y divulgaron la clase de ataque en abril de 2025, describiéndola como una forma especializada de inyección indirecta de mensajes. Su prueba de concepto exfiltró claves SSH y archivos de configuración de MCP a través de una herramienta "add" envenenada. Desde entonces, la comunidad OWASP ha documentado el envenenamiento de MCPtool como un ataque distinto, y puntos de referencia académicos como MCPTox Lo hemos probado con servidores MCP reales.
¿Por qué funciona el envenenamiento de herramientas? #
El envenenamiento de herramientas explota una brecha entre lo que los humanos revisan y lo que leen los modelos:
- Las descripciones constituyen un contexto fiable. Los clientes de MCP pasan las descripciones de las herramientas al modelo como instrucciones sobre cómo usar la herramienta, por lo que el texto oculto allí tiene autoridad real.
- Los usuarios ven un resumen. La mayoría de las interfaces muestran el nombre de la herramienta y una etiqueta corta, no la descripción completa ni el esquema de parámetros.
- Los agentes actúan con acceso real. Un agente de codificación suele tener acceso al sistema de archivos, a la consola y a la red, además de las credenciales del desarrollador. Por lo general, el agente puede ejecutar cualquier instrucción maliciosa que se le solicite.
- Los servidores MCP son código de terceros. Muchos se instalan desde registros públicos con un solo comando, con poca revisión.
Por eso, el envenenamiento por herramientas se sitúa en la intersección de dos riesgos: inyección inmediata y la cadena de suministro de software.le?
Tipos de intoxicación por herramientas MCP #
El envenenamiento de herramientas adopta diversas formas. Todas ellas abusan de la confianza del agente en los metadatos de la herramienta.
Tipos de intoxicación por herramientas MCP #
El envenenamiento de herramientas adopta diversas formas. Todas ellas abusan de la confianza del agente en los metadatos de la herramienta.
| Variante | Cómo funciona | A qué puede conducir |
|---|---|---|
| Instrucciones ocultas | El texto malicioso está incrustado en la descripción de una herramienta o en el esquema de parámetros. | Robo de credenciales y exfiltración de datos a través del agente |
| Tirador de alfombra | Un servidor cambia la definición de una herramienta después de que el usuario la haya aprobado. | Una herramienta confiable se vuelve maliciosa sin una nueva revisión. |
| Sombreado de herramientas | La descripción de un servidor malicioso cambia la forma en que el agente utiliza las herramientas de un servidor diferente y de confianza. | Se hace un mal uso de herramientas legítimas, por ejemplo, para enviar datos a otro lugar. |
| Salida de herramienta envenenada | Una herramienta devuelve resultados que contienen instrucciones para el modelo. | Las siguientes acciones del agente son interceptadas a mitad de la tarea. |
El envenenamiento por herramientas MCP y los marcos de OWASP #
La vulnerabilidad de las herramientas MCP se corresponde directamente con las listas de riesgos de OWASP para aplicaciones de IA:
ASI04 Vulnerabilidades de la cadena de suministro de agentes, Secuestro de objetivo del agente ASI01 y Uso indebido de la herramienta ASI02 en el Top 10 de OWASP para aplicaciones con agentes. Nuestra guía para el Los 10 principales problemas de IA agencial de OWASP explica cada riesgo con pipeline ejemplos. La explotabilidad del ate y la remediación de la IA abren una solución pull requests donde trabajan los desarrolladores.
Inyección inmediata LLM01 en el Los 10 mejores candidatos para el Máster en Derecho de OWASP, puesto que el envenenamiento de herramientas es una forma de inyección inmediata indirecta.
¿Cómo prevenirlo? #
Ningún control por sí solo evita la intoxicación por herramientas. Estas prácticas reducen el riesgo y el daño:
- Inventarie todos los servidores y herramientas de MCP. No puedes verificar, restringir ni limitar las herramientas que tus agentes utilizan si no sabes que las usan.
- Servidores veterinarios antes de la adopción. Prefiera los editores verificados, revise las descripciones y los parámetros completos de la herramienta y compruebe que el paquete en sí no contenga código malicioso.
- Versiones fijas y detección de cambios. Bloquee las versiones del servidor MCP y vuelva a revisarlas cuando cambie la definición de una herramienta, para que no se produzca una actualización inadvertida.
- Aplicar el principio de mínimo privilegio. Proporcione a cada agente únicamente las herramientas, los archivos y las credenciales que necesita para su tarea, y evite los tokens amplios y de larga duración.
- Agentes aislados. Ejecute los agentes en entornos aislados con acceso restringido a la red, de modo que una instrucción maliciosa no pueda llegar a su Secretos ni enviar datos.
- Se requiere aprobación para acciones delicadas. Mantén a una persona al tanto de las acciones que envían datos, cambian permisos o afectan a la producción.
- Llamadas a herramientas de registro. Registra qué herramientas utiliza un agente y con qué parámetros, para que puedas investigar las anomalías.
¿Cómo ayuda Xygeni a reducir el riesgo de intoxicación por herramientas? #
Xygeni aborda las partes del envenenamiento de herramientas MCP que dejan evidencia antes de que se ejecute un agente:
- Inventario: Seguridad de IA de Xygeni Descubre los servidores, herramientas, agentes y modelos de MCP en sus repositorios, asigna qué agente llama a qué servidor de MCP y exporta todo como una lista de materiales de IA (AI-BOM).
- Agentes con privilegios excesivos: Este sistema identifica los servidores MCP y de herramientas con privilegios elevados y credenciales de larga duración en las configuraciones de los agentes, lo que limita el alcance de una instrucción maliciosa.
- Instrucciones maliciosas: revisa el archivos de habilidades e instrucciones para agentes que dirigen a los agentes, detectando instrucciones maliciosas que ninguna firma puede ver.
- Paquetes maliciosos: Muchos servidores MCP se distribuyen como paquetes npm o PyPI. Alerta temprana de malware analiza las nuevas versiones de paquetes a medida que se publican y Shield Bloquea los paquetes maliciosos en las estaciones de trabajo de los desarrolladores antes de que se instalen.
Preguntas Frecuentes #
El envenenamiento de herramientas MCP se produce cuando un atacante oculta instrucciones dentro de la descripción de una herramienta que un agente de IA puede utilizar. El agente lee el texto oculto y lo sigue, por ejemplo, filtrando archivos, mientras que el usuario solo ve el nombre inofensivo de la herramienta.
El envenenamiento de herramientas es una forma de inyección indirecta de mensajes. La diferencia radica en dónde reside la instrucción maliciosa: en los metadatos de la herramienta en los que el agente confía, en lugar de en un documento, página web o mensaje de usuario.
Se produce un cambio de versión cuando un servidor MCP modifica la definición de una herramienta después de que usted la haya aprobado. La herramienta que revisó ya no es la que usa su agente, por lo que es fundamental fijar las versiones y volver a revisar los cambios.
Comience con un inventario de todos los servidores y herramientas MCP que utilizan sus agentes y repositorios. Luego, revise cada uno para identificar su editor, los permisos que necesita y cómo está instalado. Herramientas como Xygeni AI Security generan este inventario automáticamente a partir de su código.
