Numerosas críticas de personas que respeto, y no conozco, me motivan a explícitar las limitaciones objetivas,. Pod lo menos para mí, sobre MCP.
El artículo es: El Ecosistema MCP: el futuro del software impulsado por IA
1. Introducción
El Model Context Protocol (MCP) se ha propuesto como un estándar abierto para conectar modelos de lenguaje con herramientas, APIs y fuentes de datos externas mediante una arquitectura cliente-servidor basada en JSON-RPC y sesiones. Un trabajo de síntesis reciente lo describe como “un framework orientado a sesiones que permite a los LLM negociar capacidades, invocar herramientas externas y recuperar recursos contextuales bajo controles de acceso de grano fino”.
En menos de un año desde su introducción pública, MCP ha pasado de ser una propuesta experimental a integrarse en IDEs, asistentes de desarrollo y plataformas empresariales, con miles de servidores publicados en repositorios abiertos y directorios especializados. Sin embargo, este crecimiento acelerado no está exento de problemas. Diversos estudios académicos, informes de seguridad y análisis de adopción señalan que el ecosistema MCP exhibe limitaciones técnicas, organizacionales y de seguridad que condicionan su madurez actual y su despliegue a gran escala.
Este artículo ofrece un análisis estructurado y crítico de estas limitaciones, con base en:
- trabajos de corte académico sobre arquitectura y amenazas en MCP,
- bases de datos de vulnerabilidades y CVE públicas,
- directorios masivos de servidores MCP,
- y artículos técnicos de empresas y medios especializados.
El objetivo no es desacreditar el protocolo, sino aportar un marco riguroso para entender en qué punto se encuentra realmente el ecosistema en 2025, cuáles son sus riesgos y qué retos deben resolverse para que MCP se consolide como estándar duradero.
2. Panorama cuantitativo del ecosistema MCP
Resulta difícil estimar con exactitud el tamaño del ecosistema MCP, dado que no existe un registro centralizado. Sin embargo, hay varios indicadores consistentes:
- Un directorio automático de servidores MCP enumera 7.968 repositorios en GitHub, con 7.964 servidores distintos, repartidos en 52 lenguajes de programación y con más de 414.000 estrellas acumuladas.
- Un informe de prensa técnica sobre seguridad en MCP menciona que el protocolo ya se utiliza en “más de 15.000 servidores a nivel global”, cifra que probablemente combina repositorios públicos, instancias privadas y despliegues internos.
- Listas curadas independientes (como las distintas variantes de awesome-mcp-servers) agrupan centenares de servidores “listos para producción” junto con proyectos claramente experimentales o abandonados.
En paralelo, grandes actores de la industria —incluida Microsoft— han señalado públicamente a MCP como una pieza candidata para articular un “agentic web” en la que agentes de IA de distintos proveedores puedan interoperar sobre una base protocolar común.
Este contexto cuantitativo y estratégico sirve de telón de fondo para analizar sus limitaciones.
3. Inmadurez y fragmentación del ecosistema
3.1. Ciclo de vida corto y alta experimentación
Los análisis automáticos de directorios MCP muestran una fuerte asimetría: una minoría de proyectos concentra la mayoría de las estrellas y forks, mientras que un gran número de servidores tienen muy poca actividad reciente. Blogs técnicos especializados destacan que una proporción significativa de repositorios MCP se encuentran en estado “experimental” o “proof-of-concept”, con escaso mantenimiento y sin garantías de compatibilidad futura.
Desde la perspectiva de la ingeniería de software, este comportamiento es típico de ecosistemas inmaduros: proliferación de implementaciones, rápida obsolescencia y ausencia de convenciones consolidadas. El resultado práctico es que:
- integrar MCP hoy supone frecuentemente apoyarse en proyectos cuya continuidad no está asegurada;
- la carga de evaluación técnica recae en cada organización, lo que eleva el coste de adopción;
- y la fragmentación de enfoques dificulta la aparición de “buenas prácticas de facto”.
Un survey reciente sobre MCP como tecnología de integración subraya precisamente esta tensión entre “potencial arquitectónico” y “falta de evidencia longitudinal” sobre la estabilidad de implementaciones reales.
4. Superficie de ataque y vulnerabilidades de seguridad
4.1. CVEs y vulnerabilidades críticas en la práctica
Lejos de ser un riesgo teórico, MCP ya cuenta con un historial de vulnerabilidades críticas documentadas:
- La base pública Model Context Protocol Security mantiene un registro de vulnerabilidades reales clasificadas por tipo (RCE, authentication bypass, escalada de privilegios, filtración de datos, etc.) y resalta la existencia de “vulnerabilidades activas que requieren atención inmediata” en implementaciones MCP.
- Investigadores de JFrog documentaron CVE-2025-6514, una vulnerabilidad de ejecución remota de código (RCE) con una puntuación CVSS de 9,6 en el proyecto mcp-remote, utilizado por clientes MCP para conectarse a servidores remotos. El fallo permitía a un atacante ejecutar código arbitrario en la máquina del desarrollador simplemente explotando el flujo de conexión a servidores no confiables.
- Otra vulnerabilidad crítica en el proyecto MCP Inspector de Anthropic permitía RCE con toma completa de control sobre el host, según análisis de The Hacker News.
Más allá de fallos específicos, existe un patrón claro: los entornos MCP tienden a ejecutarse con los mismos privilegios que el proceso anfitrión, por lo que una explotación suele traducirse en compromiso completo de la máquina o del entorno en el que se ejecuta el cliente.
4.2. Debilidades de diseño: prompt injection y control de flujo
Algunas vulnerabilidades reportadas no se deben solo a errores de implementación, sino a aspectos de diseño del propio modelo de interacción. El proyecto Vulnerable MCP Project documenta, por ejemplo, ataques en los que “servidores MCP maliciosos pueden inyectar prompts a través de descripciones de herramientas para manipular el comportamiento del modelo sin ser invocados explícitamente”, lo que permite eludir medidas de seguridad a nivel de prompt diseñadas para proteger al usuario.
Este tipo de ataque revela un problema más profundo:
- el modelo de confianza implícita en las descripciones de herramientas,
- la dificultad de distinguir entre metadatos benignos y contenido manipulador,
- y la ausencia, a día de hoy, de un canal formalmente separado para “datos de control” y “datos de contenido”.
El propio sitio oficial de buenas prácticas de seguridad para MCP reconoce que existen riesgos específicos de “inyección de instrucciones a través de metadatos de herramientas, descripciones y contenido de recursos”, y recomienda contramedidas a nivel de cliente, servidor y modelo, pero sin poder eliminar el problema de raíz.
4.3. Identidad fragmentada y controles de acceso incompletos
Diversos análisis señalan que uno de los puntos más delicados de MCP en contextos empresariales es la gestión de identidad y permisos:
- Un artículo reciente en TechRadar Pro destaca que “la mayor brecha de seguridad de MCP es la fragmentación de identidad”: el protocolo depende de credenciales estáticas, permisos persistentes y configuraciones heterogéneas, lo que amplifica el riesgo de robos de credenciales y uso indebido de servidores MCP en infraestructuras complejas.
- La especificación de mejores prácticas de seguridad de MCP reconoce que la autorización robusta suele delegarse en mecanismos externos (OAuth 2.1, proxies, gateways), lo que implica que muchas implementaciones tempranas carecen de un modelo de control de acceso coherente y auditado.
En resumen, el diseño actual de MCP ofrece flexibilidad y potencia, pero traslada gran parte de la responsabilidad de seguridad al integrador, lo que genera asimetrías significativas en el nivel de protección efectivo según el actor que lo implemente.
5. Gobernanza, certificación y calidad de implementación
5.1. Ausencia de certificación y compliance estandarizado
En 2025 no existe, todavía, un esquema formal de certificación que permita distinguir servidores MCP:
- evaluados en seguridad,
- auditados en términos de compliance regulatoria,
- o verificados respecto a criterios de calidad y mantenimiento.
Los directorios principales de servidores MCP, incluidos aquellos con mecanismos automáticos de agregación, suelen incorporar advertencias explícitas del tipo “pueden ejecutar código arbitrario con los mismos permisos que el proceso anfitrión” y recomiendan encarecidamente la ejecución en entornos aislados (contenedores, sandboxes).
Informes de adopción empresarial recogen que esta falta de garantías estandarizadas es uno de los factores que frena despliegues a gran escala, especialmente en sectores regulados (finanzas, salud, administración pública).
5.2. Heterogeneidad en documentación y prácticas de ingeniería
Los repositorios MCP muestran una variabilidad considerable en:
- calidad de la documentación,
- cobertura de pruebas,
- políticas de versioning,
- gestión de breaking changes.
Análisis centrados en la adopción de MCP en empresas señalan que muchos proyectos carecen de manuales de despliegue, guías de actualización o ejemplos coherentes de integración, lo que desplaza el esfuerzo de ingeniería hacia los equipos que consumen estos servidores.
Al tratarse de un campo altamente especializado, no es sorprendente que existan pocos expertos en profundidad y que la documentación suela rezagarse frente al código. Pero, a largo plazo, la sostenibilidad del ecosistema dependerá de que se consoliden estándares de documentación y mantenimiento similares a los que hoy se exigen en librerías de infraestructura críticas.
6. Desafíos de adopción empresarial
6.1. Integración con arquitecturas existentes
Informes sobre adopción de MCP en entornos empresariales destacan que las organizaciones se enfrentan a obstáculos tanto técnicos como organizacionales:
- coexistencia con marcos previos de orquestación (p.ej., OpenAPI, gRPC, soluciones in-house),
- necesidad de adaptar políticas de seguridad y segmentación de red a un nuevo tipo de flujo de datos controlado por IA,
- incertidumbre sobre el impacto en ciclos de governance y auditoría de procesos automatizados.
La conclusión común de estos análisis es que MCP encaja bien con estrategias de “arquitectura componible” y “AI-native”, pero exige ajustes significativos en procesos y herramientas de observabilidad, logging, trazabilidad y control de cambios.
6.2. Cumplimiento normativo y soberanía de datos
La capacidad de un agente MCP para acceder, combinar y transformar datos procedentes de múltiples fuentes —internas y externas— plantea preguntas serias sobre:
- localización de datos,
- retención y borrado,
- trazabilidad de accesos,
- y responsabilidad en caso de fuga o uso indebido.
Artículos de análisis señalan que el protocolo, por sí solo, no resuelve estos asuntos: sólo define cómo se comunican el modelo y los servidores, pero no cómo se gobierna el ciclo de vida de los datos ni cómo se garantiza su tratamiento conforme a normativas como GDPR, HIPAA u otras regulaciones sectoriales.
En consecuencia, las organizaciones que adopten MCP deben diseñar capas adicionales de control y auditoría, lo que incrementa la complejidad y el coste de integración.
7. Perspectiva socio-técnica y trayectoria futura
Desde una perspectiva socio-técnica, MCP se sitúa en un punto intermedio entre:
- un estándar incipiente pero enormemente prometedor,
- y un ecosistema aún inestable, con riesgos de seguridad reales y ausencia de prácticas maduras generalizadas.
Los medios especializados destacan simultáneamente que el protocolo “encola” aplicaciones y modelos de IA de forma elegante, pero que “sigue siendo arriesgado debido a salvaguardas limitadas”, sobre todo en lo relativo a autenticación, privacidad e integridad de los entornos donde se ejecuta.
La trayectoria probable, a la luz de la experiencia histórica con otros estándares de infraestructura, es que:
- las vulnerabilidades detectadas actúen como catalizador de mejores prácticas,
- surjan esquemas de certificación y pruebas de conformidad,
- se impongan patrones de diseño más robustos para servidores MCP,
- y la gobernanza multi-actor (fabricantes, proveedores cloud, comunidad) reduzca la fragmentación actual.
Si ese proceso tiene éxito, MCP podría consolidarse como la “capa de conexión” estándar entre IA y sistemas digitales. Si no lo tiene, parte de sus ideas podría ser absorbida por otros marcos competidores o sucedáneos, repitiendo ciclos históricos de estándares que fueron influyentes sin llegar a dominar completamente su dominio.
8. Conclusión
El Model Context Protocol no es una tecnología fallida ni una solución mágica: es un estándar emergente que, en 2025, combina un enorme potencial para articular arquitecturas de IA con herramientas reales con un conjunto significativo de limitaciones que no pueden ignorarse.
Los datos actuales muestran:
- un ecosistema amplio pero fragmentado,
- vulnerabilidades críticas ya explotadas en la práctica,
- ausencia de certificación estandarizada,
- heterogeneidad en documentación e ingeniería,
- y dudas legítimas en ámbitos de seguridad, compliance y gobernanza de datos.
Un análisis riguroso de MCP debe, por tanto, sostener simultáneamente dos ideas:
- MCP es una pieza arquitectónica clave en la evolución hacia software realmente impulsado por agentes de IA.
- El MCP de 2025 es todavía un sistema joven, cuya adopción responsable exige medidas adicionales de seguridad, gobernanza y prudencia técnica.
Sólo integrando ambas perspectivas —potencial y límites— es posible tomar decisiones informadas sobre su uso, su implementación y su papel en el futuro del software.
Referencias seleccionadas
- “A Survey on Model Context Protocol: Architecture, State-of-the-art, Challenges and Future Directions”, TechRxiv preprint, 2025.
- “Model Context Protocol (MCP): Landscape, Security Threats, and Future Directions”, arXiv preprint, 2025.
- Model Context Protocol Security – Known Vulnerabilities y Security Best Practices.
- JFrog Security Research, “Critical RCE Vulnerability in mcp-remote: CVE-2025-6514 Threatens LLM Clients”, 2025.
- The Hacker News, “Critical Vulnerability in Anthropic’s MCP Exposes Developer Machines to Remote Exploits”, 2025.
- Vulnerable MCP Project – Base de datos de vulnerabilidades de diseño en MCP.
- Directorio automático de servidores MCP – estadísticas agregadas de 7.968 repositorios y 7.964 servidores.
- “MCP’s biggest security loophole is identity fragmentation”, TechRadar Pro, 2025.
- “What is Model Context Protocol (MCP)?”, ITPro, 2025.
- Informes de adopción y retos empresariales en MCP: mcprepo.ai, AST Consulting, Ragwalla, Xenoss (2025).