Blog / Español
MCP en producción: conectar herramientas es fácil; controlar la autoridad es el verdadero problema
Conectar una IA a GitHub, una base de datos y Slack crea una demostración impresionante.
Dar autoridad a esa IA sobre los tres crea un sistema que necesita arquitectura.
Model Context Protocol, o MCP, reduce el esfuerzo necesario para que una aplicación de IA descubra herramientas, recursos y contratos de entrada y salida. Esa estandarización es potente. También facilita confundir integración con gobernanza.
Que una llamada funcione demuestra conectividad. No demuestra que el agente deba ver esos datos, ejecutar esa acción o conservar el permiso mañana.
MCP estandariza la puerta. La empresa sigue decidiendo quién recibe la llave
MCP permite que un host conecte modelos a servidores que ofrecen recursos y herramientas. El protocolo organiza descubrimiento, mensajes, contratos y transporte.
Después comienza el trabajo difícil:
- quién puede invocar cada herramienta;
- a qué usuario o servicio representa el agente;
- qué datos pueden entrar en el contexto;
- qué acciones exigen aprobación;
- cuánto tiempo dura la credencial;
- qué evidencia se registra;
- cómo contener un error o una instrucción maliciosa.
El protocolo transporta capacidad. La arquitectura define autoridad.
El error más caro es autorizar al agente como si fuera una persona de confianza
Un agente no recibe órdenes solo del equipo. También procesa issues, documentos, páginas, logs, mensajes y descripciones de herramientas. Parte de ese contenido puede ser erróneo o intentar influir en su comportamiento.
Cuando una misma identidad puede leer datos, modificar código, aprobar cambios y publicar resultados, una instrucción externa puede atravesar todo el flujo. El problema no es solo la prompt injection. Es combinar contenido no fiable con una autoridad amplia.
«El usuario autorizó al agente» no es una política suficiente. La autorización debe responder a cinco preguntas.
Las cinco dimensiones de la autoridad
1. ¿Qué puede ver?
Limita el contexto por proyecto, repositorio, directorio, tenant, tipo de dato y finalidad. Leer un esquema no implica leer registros de producción.
2. ¿Qué puede hacer?
Concede permisos por capacidad: leer un archivo, editar una rama, abrir una PR, ejecutar una migración o enviar un mensaje. Un alcance genérico como «acceso total a GitHub» oculta acciones con consecuencias muy distintas.
3. ¿A quién representa?
Evita credenciales compartidas. Cada llamada debe conservar la identidad del usuario, agente o servicio responsable. Sin identidad, la auditoría se convierte en una lista de acciones sin autor.
4. ¿Durante cuánto tiempo?
Las credenciales temporales reducen el impacto de una filtración o un permiso olvidado. Una tarea de veinte minutos no necesita un token válido durante meses.
5. ¿Bajo qué condición?
La lectura puede ser automática. Un cambio local reversible puede requerir solo un registro. Producción, comunicación externa y operaciones destructivas deberían exigir aprobación cuando la acción va a ejecutarse.
Autonomía no significa ausencia de límites. Significa libertad dentro de un contrato observable.
Una escala de permisos para agentes
| Nivel | Capacidad | Control mínimo |
|---|---|---|
| 1 | leer contexto autorizado | alcance de datos, ocultación y registro de acceso |
| 2 | proponer un cambio | salida aislada, diff y ninguna credencial de escritura |
| 3 | editar un entorno local | sandbox, pruebas y rollback local |
| 4 | abrir una PR o actuar en staging | identidad propia, política por herramienta y auditoría |
| 5 | acción externa o en producción | credencial temporal, aprobación inmediata y plan de reversión |
El agente debe subir de nivel porque la tarea lo exige, no porque la configuración resulte cómoda. Al terminar, su autoridad debe caducar.
Cuatro atajos que parecen eficientes
Un token para todo
Es sencillo hasta que nadie sabe qué servicio debería aceptar el token. La especificación MCP exige validar la audiencia y prohíbe el reenvío indebido de tokens. Cada recurso debe reconocer credenciales destinadas a él.
Utilizar la descripción de la herramienta como política
La descripción ayuda al modelo a elegir una función. No debe conceder acceso. La autorización pertenece a una capa determinista, fuera del texto que interpreta el agente.
Aprobarlo todo al principio de la sesión
Autorizar una conexión no equivale a aprobar todas las acciones futuras. El consentimiento debe acompañar a la consecuencia: publicar, borrar, enviar o modificar producción.
Registrarlo todo sin criterio
Los logs completos pueden filtrar secretos y datos personales. Registra herramienta, identidad, alcance, hora, decisión de autorización y resultado. Protege o elimina el contenido sensible que la auditoría no necesite.
El contrato mínimo de cada herramienta
Antes de llevar un servidor MCP a producción, documenta:
- objetivo de la herramienta;
- datos que lee y escribe;
- efectos externos y reversibilidad;
- identidad utilizada;
- conjunto mínimo de permisos;
- condición de aprobación humana;
- timeout, límites de uso y caducidad;
- campos registrados para auditoría;
- tratamiento del contenido no fiable;
- mecanismo de rollback o contención.
Si una herramienta no puede completar este contrato, todavía no está preparada para tener autoridad en producción.
Dónde encaja ArchGenerator.com
Tu equipo puede seguir utilizando la IA de coding y los servidores MCP que ya ha elegido. ArchGenerator.com mantiene en una sede controlada por la empresa las definiciones que no deberían quedar dispersas entre prompts y configuraciones.
Discovery y SPEC definen el flujo del agente, los actores, los datos, las restricciones y los criterios de aceptación. Las decisiones de arquitectura registran límites de confianza, identidad y permisos. Los Informes ayudan a observar la implementación y relacionar hallazgos con evidencias. El Kit SDD lleva el contrato a la IA que ejecutará el desarrollo.
La separación queda clara: MCP conecta; la herramienta de coding implementa; ArchGenerator.com organiza intención, arquitectura, especificación y gobernanza.
No necesitas reducir la autonomía del agente. Necesitas evitar que la autonomía se convierta en autoridad invisible.
Prueba ArchGenerator.com modelando un único flujo MCP crítico. Registra quién puede ver, actuar, aprobar y demostrar cada paso. Cuando conectes el siguiente servidor, tu equipo tendrá un patrón de decisión y no solo otra llave cuyo alcance resulta difícil de explicar.