El contagio entre agentes: por qué el MCP expone la fragilidad de los sistemas multiagente

A medida que la industria del software se apresura a realizar la transición de los modelos de lenguaje grandes e independientes a enjambres colaborativos de agentes autónomos, una verdad incómoda sigue acechando a la arquitectura: todavía no hemos resuelto la inyección de prompts. Cuando los sistemas dependen del lenguaje natural tanto como código de ejecución como capa de datos, conectar múltiples agentes no crea sinergia; crea un vector de infección.

Análisis recientes en torno al Model Context Protocol (MCP) destacan vulnerabilidades estructurales en la forma en que se está estandarizando la comunicación entre agentes. Diseñado originalmente para agilizar el intercambio de contexto, la recuperación de datos y la integración de herramientas entre modelos, el protocolo establece de forma involuntaria límites de confianza que simplemente no existen en la práctica. Cuando un agente ascendente ingiere texto no confiable y lo transforma en instrucciones estructuradas para un agente descendente, cualquier carga útil maliciosa incrustada en la entrada original puede saltar el límite del sistema con una resistencia criptográfica o semántica nula.

Esta vulnerabilidad deja al descubierto la persistente arrogancia de la ingeniería multiagente actual. En los sistemas distribuidos tradicionales, los ingenieros de software confían en esquemas tipados, la desinfección de entradas y una estricta separación de privilegios. Sin embargo, en el paradigma de los agentes de IA, los desarrolladores tratan la comprensión semántica como un sustituto de la validación. Un agente secundario confía en un agente primario no porque la carga útil sea verificable matemáticamente, sino porque asume que el modelo generador ya ha "entendido" y filtrado la malicia. Esta suposición está fundamentalmente errónea.

La inyección de prompts indirecta sigue siendo un desafío de alineación abierto y sin resolver. Cuando los agentes se encadenan a través de protocolos como MCP, un ataque de inyección se transforma de un jailbreak de un solo turno a una cascada distribuida. Un prompt no verificado en una página web pública puede manipular a un agente de navegación web, el cual posteriormente transmite una carga útil de contexto maliciosa a través de un enlace MCP a un agente interno de ejecución de código o de acceso empresarial. La brecha resultante no requiere ningún exploit de día cero de software; simplemente explota la credulidad probabilística inherente a los modelos de tipo transformer.

Hasta que la comunidad de IA no afronte la realidad de que los modelos de lenguaje no pueden demarcar de forma fiable los datos del código, los protocolos de comunicación estandarizados seguirán siendo amplificadores del riesgo arquitectónico. La solución no consiste en aplicar filtros de seguridad superficiales a los agentes descendentes, ni en declarar que el protocolo es seguro por convención. Construir sistemas multiagente robustos exige un aislamiento verificable y paradigmas de mínimo privilegio que asuman que cada agente de la red ya está comprometido.

Foto: MARCO / Unsplash (https://unsplash.com/@thephotoandfocus)