Nota: «MCP 2.0» se utiliza aquí como referencia coloquial a la evolución de próxima generación del Protocolo de Contexto de Modelo (Model Context Protocol). El propio MCP utiliza un sistema de versiones basado en fechas (por ejemplo, la última versión es la del 25 de noviembre de 2025 en el momento de la publicación de este documento) y no define oficialmente una versión 2.0.
Los agentes de IA ya no se limitan a responder preguntas: están pasando a la acción. Leen archivos. Modifican sistemas. Y, en algunos casos, toman decisiones que tienen repercusiones en toda la empresa.
Por eso es importante el Protocolo de Contexto de Modelos (MCP) 2.0.
En unepisodio reciente de STRIVE, la serie de liderazgo intelectual de Commvault sobre Readiness cibernética, me reuní con Werner Nel, director de Seguridad e Inteligencia de IA en Commvault, para analizar qué cambia realmente el MCP 2.0 y por qué los responsables de seguridad no pueden permitirse tratarlo como una simple actualización menor de las especificaciones.
No se trata de una conversación teórica. Es una visión práctica de cómo las empresas pueden potenciar la innovación en IA sin ampliar su radio de impacto.
Puntos clave: lo que realmente cambia con MCP 2.0
- MCP 2.0 marca un cambio de la mera adopción de la IA hacia la rendición de cuentas.
- OAuth puede permitir un acceso con privilegios mínimos para los agentes de IA.
- Los esquemas estructurados pueden ayudar a mitigar la inyección de comandos y el uso indebido.
- Los flujos de elicitación pueden añadir puntos de pausa críticos para las acciones de alto riesgo.
- MCP 2.0 puede ayudar a mejorar la seguridad, pero no elimina el riesgo.
- Es esencial comprender la autoridad de los agentes y su radio de impacto.
Por qué MCP 2.0 es un punto de inflexión
MCP 1.x se centró en la adopción.
Ofreció a las empresas una forma de conectar modelos de IA con herramientas y datos reales. Pero, como explica Werner, esa primera oleada nunca se diseñó para responder a la pregunta más difícil: ¿cómo permitimos que los agentes de IA realicen trabajo real dentro de la empresa sin convertirlos en un riesgo para la seguridad?
MCP 2.0 es el primer intento serio del sector por responder a esa pregunta.
En lugar de centrarse exclusivamente en la conectividad, centra la atención en la autorización, el control y la visibilidad: tres aspectos que preocupan profundamente a los equipos de seguridad, sobre todo ahora que los agentes pasan de ser asistentes de solo lectura a actores con poder real.
Los tres cambios de seguridad más importantes
- OAuth llega a MCP. MCP 2.0 introduce la compatibilidad con OAuth, lo que ofrece a las empresas una forma estandarizada de asignar permisos y aplicar el principio del privilegio mínimo. En lugar de basarse en vagas suposiciones de confianza, se puede limitar a los agentes exactamente a lo que se les permite hacer, y nada más.
- Los esquemas estructurados ayudan a reducir el riesgo de inyección de comandos. Los esquemas estructurados actúan como una lista de permitidos para las acciones de los agentes. Si una herramienta no está definida explícitamente en el esquema, no se ejecutará. Esto puede ayudar a reducir el riesgo de inyección de comandos y otras técnicas de manipulación que eran más fáciles de explotar en implementaciones anteriores.
- Los flujos de solicitud añaden un «botón de pausa». Los flujos de solicitud permiten que los flujos de trabajo se detengan a mitad de su ejecución, de modo que un paso de alto riesgo pueda desencadenar una confirmación, una validación o incluso una escalada de credenciales. Esto puede ayudar a los equipos a pasar de la estrategia de «registrar y esperar» a un control más deliberado sobre las acciones sensibles.
Avance: MCP 2.0 en acción
Esta vista previa destaca por qué la autoridad, el radio de impacto y la reversibilidad son las tres cuestiones más importantes que las empresas deberían plantearse al implementar agentes de IA.
Las lagunas que MCP 2.0 no resuelve (y por qué es importante)
MCP 2.0 supone un gran paso adelante, pero no es la meta final. Tal y como destaca Werner en STRIVE, todavía existen lagunas significativas que las empresas deben tener en cuenta en las implementaciones del mundo real.
Por ejemplo, las empresas aún no pueden demostrar criptográficamente de forma concluyente que un servidor MCP sea el original auténtico (frente a un clon o una copia modificada). Del mismo modo, aunque el protocolo mejore la autorización y la disciplina en las entradas, las organizaciones siguen teniendo que plantearse la firma de herramientas y binarios, así como el entorno en el que se ejecutan los servidores y modelos MCP, ya que una vulneración puede traducirse en un acceso generalizado dependiendo de cómo se implemente.
Conclusión: MCP 2.0 mejora el protocolo, pero las organizaciones siguen teniendo que tomar decisiones acertadas sobre confianza, contención, monitorización y supervisión.
Un marco sencillo para evaluar el riesgo de los agentes de IA
Uno de los momentos más prácticos del episodio es el enfoque de riesgo de tres preguntas de Werner, algo que los CISO y los arquitectos pueden aplicar de inmediato:
- ¿Qué autoridad tiene mi agente?
- ¿Cuál es el alcance del impacto?
- ¿Hasta qué punto es reversible la acción que se está llevando a cabo?
Estas preguntas ayudan a los equipos a pasar de debates genéricos sobre el «riesgo de la IA» a decisiones concretas sobre permisos, contención y cómo gestionar acciones de gran impacto que quizá no sean fáciles de revertir.
Mira el episodio completo de STRIVE
Este blog solo aborda el tema de forma superficial. En el podcast completo de STRIVE, de 20 minutos de duración, descubrirás:
- Por qué MCP 2.0 ha evolucionado tan rápidamente.
- Qué deben priorizar los CISO en este momento.
- Hacia dónde se dirige probablemente MCP 3.0.
- Cómo pueden los equipos de seguridad mantenerse al día a medida que los agentes ganan en autonomía.
Mira el episodio completo de STRIVE en Readiverse.Profundiza en el tema y evalúa tu propia Readiness.
Preguntas frecuentes
P: ¿Qué es MCP 2.0?
R: MCP 2.0 es un protocolo actualizado que regula la forma en que los modelos de IA interactúan con las herramientas y los datos empresariales, con un especial énfasis en la seguridad, la autorización y el control.
P: ¿En qué se diferencia MCP 2.0 de MCP 1.x?
R: MCP 1.x se centraba en la conectividad y la integración. MCP 2.0 da prioridad a la seguridad de esas interacciones.
P: ¿Elimina MCP 2.0 los riesgos de seguridad de la IA?
R: No. Puede ayudar a mejorar las prácticas de seguridad, pero debe ir acompañado de una arquitectura y una gobernanza sólidas.
P: ¿Qué es un flujo de solicitud?
R: Un flujo de solicitud permite que los flujos de trabajo de IA se detengan para solicitar confirmación antes de ejecutar acciones de alto riesgo.Chris Mierzwa es director sénior de marketing de cartera en Commvault.
Blogs relacionados
- La frontera causal: tendiendo un puente entre la inteligencia y la resiliencia
- Las últimas novedades de Arlie: tu nuevo y mejorado asistente de IA
- La perspectiva de un CIO: Reforzar la resistencia empresarial en la era de la IA
- Data Activate: Aprovechar el potencial de los datos fiables para la innovación en IA
