En ciberseguridad, el modelo es lo fácil: la ventaja competitiva de los agentes está en MCP, skills y permisos

Por iTWire · 2 de noviembre de 2026.

Un artículo de Kirsten Doyle en iTWire sostiene que, en los agentes de IA para ciberseguridad, el modelo de lenguaje es «la parte fácil» y cada vez la menos diferenciada. Lo difícil es hacer que el agente trabaje de forma segura y consistente con las herramientas que el equipo ya usa.

El texto distingue dos piezas reutilizables. Un servidor MCP (Model Context Protocol, estándar abierto para conectar aplicaciones de IA con herramientas y datos) expone una herramienta, como un escáner de vulnerabilidades, mediante una interfaz común. Una «skill» es el conjunto de instrucciones que dice al agente cómo hacer un trabajo, por ejemplo priorizar vulnerabilidades. Según el artículo, si el equipo cambia de escáner conserva la skill y solo cambia el servidor.

Como ejemplo, el artículo cita Black Hat USA 2026. Allí los participantes construyeron servidores MCP sobre herramientas existentes y convirtieron tareas comunes en skills. El proyecto ganador, Chokepoint Finder, ordena arreglos en lugar de hallazgos. Agrupa las vulnerabilidades por la acción que las resuelve y calcula la lista ordenada más corta que elimina más riesgo ponderado. Se publicó en cuatro formas: agente, servidor MCP, skill y playbook. Son datos que atribuimos al artículo, que no ofrece métricas de rendimiento del proyecto.

El texto también advierte de que el código abierto permite inspeccionar, pero no equivale a seguridad. Recomienda mínimo privilegio, aprobación humana para cambios en producción y registros de lo que hizo el agente. Distingue un servidor que solo lee datos de uno que puede cambiar configuraciones o lanzar remediaciones.

**Nuestra lectura.** La tesis del artículo es sólida y encaja con un patrón que vemos en otros ámbitos: cuando los modelos frontier convergen en capacidad, la ventaja se desplaza a la «fontanería». Gana quien controla las integraciones, los estándares y los flujos de trabajo reutilizables, no solo el modelo más listo. Que la capa MCP sea neutral respecto al proveedor es, además, una buena noticia para los equipos pequeños. Pueden reutilizar trabajo ajeno sin quedar atados a un único fabricante.

Pero aquí está el matiz que importa. Compartir skills y servidores MCP crea una cadena de suministro de software nueva, y cada componente trae permisos, dependencias y acceso a otros sistemas. En general, un agente que combina piezas de autores distintos amplía la superficie de ataque: un servidor MCP malicioso o mal diseñado, o una skill con instrucciones envenenadas, es un vector de riesgo. El artículo menciona la procedencia y los permisos, pero no profundiza en este escenario, y conviene decirlo con claridad.

De ahí una consecuencia práctica. La confianza no puede residir en el modelo ni en la reputación del repositorio, sino en capas externas: permisos mínimos, aprobación humana en acciones de alto impacto y trazabilidad completa. Cada capa añade coste y un nuevo punto de fallo que también hay que auditar. Es la misma lógica de supervisión por capas que vemos en los agentes en general.

El corto plazo, por tanto, es de disciplina más que de entusiasmo: los defensores adoptarán estos componentes más rápido de lo que madurarán las prácticas para verificarlos. A más largo plazo, el modelo de defensa colectiva, con detecciones, inteligencia de amenazas y ahora procesos agénticos compartidos, es el tipo de cooperación que puede inclinar la balanza hacia quien defiende. Esa asimetría favorable es la que necesitaremos cuando los atacantes también automaticen su trabajo, y es un buen ejemplo de cómo la apertura, bien gobernada, es una fuerza democratizadora y no solo un riesgo.