Lo m\u00e1s importante en resumen<\/p>\n
- \n
- Visi\u00f3n de paquetes \u2260 visi\u00f3n de intenci\u00f3n.<\/strong> Un t\u00fanel TLS v\u00e1lido hacia un endpoint LLM permitido no dice nada sobre tool-calls ni exfiltraci\u00f3n de datos.<\/li>\n
- MCP multiplica la superficie de ataque.<\/strong> Los agentes descubren e invocan herramientas – a menudo m\u00e1s all\u00e1 de las antiguas hip\u00f3tesis DLP \u00abel usuario pega en el navegador\u00bb.<\/li>\n
- El control necesita dos canales.<\/strong> Model-Proxy y Tool-Gateway (pol\u00edtica en la ruta MCP) deben correlacionar intenci\u00f3n y acci\u00f3n.<\/li>\n<\/ul>\n<\/div>\n
Relacionado:<\/strong> Cursor lanza git.exe desde la ra\u00edz del repositorio<\/a> \u00b7 \u00bfQu\u00e9 es Zero Trust? Definici\u00f3n, principio y componentes<\/a> \u00b7 OWASP Agentic AI Top 10: cuando los agentes de IA se convierten en la mayor superficie de ataque<\/a><\/p>\n
La brecha de arquitectura en una frase<\/h2>\n
SASE y Secure Web Gateways se dise\u00f1aron para clasificar el tr\u00e1fico de usuarios, descifrarlo y confrontarlo con reglas de URL, malware y DLP. En los flujos de trabajo agenticos esa premisa se rompe. El proxy ve una conexi\u00f3n cifrada y permitida hacia un proveedor de LLM. No ve que un agente, mediante Model Context Protocol, conecta repositorios internos, tickets o bases de conocimiento como herramienta y extrae contenidos.<\/p>\n
Art\u00edculos especializados de julio de 2026 (entre otros, The Hacker News sobre el punto ciego SASE-IA) lo formulan como brecha de intenci\u00f3n: la decisi\u00f3n y la llamada a la herramienta ocurren antes de que el paquete llegue a la inspecci\u00f3n de red cl\u00e1sica – o discurren por canales que el proxy de borde nunca ve (agentes locales, plugins de IDE, servidores MCP privados).<\/p>\n
\nDefinici\u00f3n \u00b7 MCP<\/p>\n
Model Context Protocol es un protocolo abierto con el que los agentes de IA descubren e invocan herramientas y fuentes de datos. Separa el canal del modelo de la ejecuci\u00f3n de herramientas – y, con ello, tambi\u00e9n las superficies de control.<\/p>\n<\/div>\n
Por qu\u00e9 los escenarios cl\u00e1sicos de DLP ya no bastan<\/h2>\n
El modelo cl\u00e1sico: los empleados abren el navegador, pegan texto y el HTTPS sale de la empresa. Controles: CASB, SWG, aislamiento de navegador, DLP de prompts. Los agentes de endpoint y los agentes nativos del IDE eluden partes de esta cadena. Operan en el host, mantienen el contexto en local y contactan servidores MCP internos o en SaaS.<\/p>\n
Los servidores MCP no gestionados multiplican el riesgo. Las estimaciones del mercado hablan de decenas de miles de servidores MCP p\u00fablicos – sin que la seguridad disponga de inventario, est\u00e1ndar de autenticaci\u00f3n ni pista de auditor\u00eda de forma generalizada. Quien solo \u00abbloquea el dominio de ChatGPT\u00bb se salta por completo la v\u00eda del agente.<\/p>\n
Qu\u00e9 deben reestructurar los equipos de seguridad<\/h2>\n
Primero, inventario: \u00bfqu\u00e9 agentes se ejecutan (IDE, escritorio, lado servidor)? \u00bfqu\u00e9 servidores MCP est\u00e1n permitidos? \u00bfqu\u00e9 identidades y secretos usan? Segundo, pol\u00edtica en el canal de herramientas: listas de permitidos para tools, saneado de par\u00e1metros, clasificaci\u00f3n de datos antes de la llamada y registro de cada acceso a tools con usuario\/agente\/contexto.<\/p>\n
Tercero, correlaci\u00f3n: el proxy del modelo (prompt\/respuesta) y la pasarela MCP (ejecuci\u00f3n de tools) deben poder leerse de forma conjunta. Si no, la intenci\u00f3n queda aislada en el prompt y la acci\u00f3n en el log de tools – justo la brecha que se explota en los escenarios actuales de exfiltraci\u00f3n por agentes.<\/p>\n
\n - MCP multiplica la superficie de ataque.<\/strong> Los agentes descubren e invocan herramientas – a menudo m\u00e1s all\u00e1 de las antiguas hip\u00f3tesis DLP \u00abel usuario pega en el navegador\u00bb.<\/li>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/cursor-windows-git-exe-repo-root-code-execution-cover-hero-250x141.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/cover-hero-9-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/was-ist-zero-trust-cover-hero-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-cloudfront-5xx-was-vpc-origins-teams-pru-67055442.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-bfsi-datengovernance-banken-ai-ready-dat-62296644-250x139.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-dean-ball-open-weight-macht-fud-dach-25610384-250x143.jpg\")
<\/span>