El MCP deja de ser un protocolo de conexión y pasa a ser un problema de identidad: la AAIF crece a diez proyectos

Por InfoQ · 26 de octubre de 2026.

La Agentic AI Foundation (AAIF) añadió cuatro proyectos en AGNTCon + MCPCon North America 2026, celebrado en San José los días 22 y 23 de octubre. Pasa así de tres proyectos fundacionales a diez en su primer año, según el anuncio de la propia fundación. Las incorporaciones son OpenSandbox (Alibaba, un entorno aislado para ejecutar agentes), Open Responses (OpenAI, una especificación abierta para interfaces de LLM interoperables), Agent Skills (Anthropic) y OpenEnv (Hugging Face, un marco de entornos de aprendizaje por refuerzo para entrenar y evaluar agentes).

El dato que explica el giro del evento: según Den Delimarsky, mantenedor principal del protocolo en Anthropic, las descargas acumuladas de los SDK de MCP (Model Context Protocol, el estándar para conectar modelos con herramientas y datos) alcanzan los 4.170 millones, frente a unos 3.000 millones un mes antes. Delimarsky afirmó que eso eleva lo que está en juego en cada brecha de seguridad. Cerca de un tercio de los 116 escenarios de conformidad ya prueban seguridad. La autorización gestionada por la empresa está activa en Claude, y su hoja de ruta marca como estable esa función, deja en borrador los tokens de prueba de posesión y la federación de identidad de cargas de trabajo, y apunta a agentes que se identifican como ellos mismos.

Hubo más piezas técnicas. David Soria Parra, cocreador de MCP, anunció soporte de tareas MCP en Claude Code para que las llamadas a herramientas duren minutos, horas o días. La especificación del 28 de julio introdujo servidores sin estado, y según el ponente algunas plataformas ya ven en ese modo cerca del 70% del tráfico. Desde OpenAI, Thomas Sarlandie explicó que rechazan servidores cuyas herramientas no lleven anotaciones, que permiten acelerar las lecturas y pedir confirmación en las acciones destructivas. Y Chrome presentó WebMCP, propuesta de estándar en prueba de origen para que las webs declaren herramientas a los agentes en vez de que estos rasquen el DOM; según Sarah Drasner, con acciones de 2,5 a 7,5 veces más rápidas.

En seguridad, Dawn Song (UC Berkeley) sostuvo que la IA de frontera ayudará más a atacantes que a defensores a corto plazo. Citó que en ExploitGym GPT-5.6 Sol generó unos 230 exploits funcionales contra 869 objetivos en dos horas, y más de 80 con mitigaciones estándar activas. El propio artículo advierte de que varias cifras del evento fueron afirmaciones hechas en el escenario sin datos publicados; conviene tratarlas como indicio, no como medición contrastada.

**Nuestra lectura.** Tesis: el cuello de botella de los agentes ya no es la capacidad del modelo ni el conector, sino la confianza. Cuando un protocolo se multiplica por 1,4 en un mes, la pregunta deja de ser «¿se puede conectar?» y pasa a ser «¿quién es este agente, de quién actúa y qué puede hacer?». Que la hoja de ruta termine en agentes con identidad propia, y no con un token de usuario prestado, es el cambio de fondo. Encaja con lo que ya vemos en el comercio agéntico: quien controla la identidad y la autorización controla la intermediación.

Hay también una cautela legítima. Tim O'Reilly pidió mover la confianza del modelo a protocolos, pasarelas e identidad verificable, y Manik Surtani, CTO de la AAIF, recordó que una licencia no basta para mantener abierta una infraestructura: Kubernetes fue a una fundación neutral, Android no. Pero la prensa externa fue más fría: The Register tituló que tecnología afiliada a proveedores es adoptada por una fundación amiga y financiada, y The New Stack señaló que Anthropic y Google siguen con sus propias API frente a Open Responses. La neutralidad se demostrará en la gobernanza, no en el número de proyectos. Y varias extensiones de seguridad siguen en borrador.

Implicaciones prácticas, en general: anotar cada herramienta, mantener esquemas pequeños y diseñar para agentes con identidad propia. Dohmke (Entire) añadió otra tensión: los equipos con agentes de código producen unas 57 pull requests semanales frente a unas 10, y la revisión se convierte en el cuello de botella. Su propuesta es guardar los registros de sesión del agente en Git junto a los commits.

A corto plazo, esto significa superficie de ataque creciente y una carrera en la que los atacantes necesitan un solo fallo. A largo plazo, la misma infraestructura de identidad, atestación y auditoría es la que permitirá delegar trabajo real a agentes con garantías, y esa delegación es una de las vías hacia la abundancia que defendemos. Construir primero la fontanería de confianza es poco vistoso, pero es lo que decide si llegamos ahí sin sobresaltos.