El NIST alerta de ataques por herramientas MCP a agentes de IA

El 9 de noviembre de 2026, el Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) publicó un borrador público inicial de la publicación especial NIST SP 2400-102e2026, titulada «Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations». Según el NIST, el texto está abierto a comentarios públicos hasta el 18 de diciembre de 2026. Entre sus puntos, el borrador advierte sobre la cadena de suministro de las herramientas que los agentes de IA invocan mediante el Model Context Protocol (MCP).

¿Qué es el aprendizaje automático adversarial y qué cubre el borrador del NIST?

El aprendizaje automático adversarial (adversarial machine learning, AML) estudia los ataques que manipulan deliberadamente sistemas de aprendizaje automático, así como las defensas correspondientes. Según el NIST, el informe establece una taxonomía de conceptos y define la terminología del campo. La taxonomía sigue una jerarquía conceptual que abarca los principales tipos de métodos de aprendizaje automático, las etapas del ciclo de vida de un ataque y los objetivos, metas, capacidades y conocimientos de los atacantes. El NIST afirma que se apoya en una extensa revisión de la literatura, conversaciones con expertos en AML e investigaciones de sus propios especialistas.

El borrador continúa la serie histórica NIST AI 100-2, según la página de la publicación, que cita AI 100-2 E2025 entre las publicaciones relacionadas. Los autores mencionados son Apostol Vassilev y Maia Hamin (NIST), Alina Oprea (Northeastern University), Alie Fordyce (ElevenLabs) y Xander Davies (U.K. AI Security Institute). Esta edición se centra en los ataques a sistemas agénticos y sus mitigaciones, tratados en la sección 4 del informe, junto con un nuevo índice de tipos de ataques agénticos.

Conviene aclarar un punto de terminología. Las propias páginas del NIST usan la abreviatura «SI», desarrollada como «Super Intelligence», para nombrar los sistemas cubiertos, mientras que CDO Magazine e iThome describen un borrador dedicado a sistemas de IA agéntica. Este artículo escribe «IA» y sigue la descripción de esos dos medios.

¿Qué ataques recoge la taxonomía?

Según CDO Magazine, que informó del borrador el 12 de noviembre, el documento examina el envenenamiento de datos, el envenenamiento de modelos, los ataques a la privacidad y las técnicas de evasión. Para la IA generativa, abarca los ataques a la cadena de suministro, la inyección de prompts directa e indirecta, la extracción de información y la manipulación de modelos. La inyección de prompts consiste en ocultar instrucciones en un texto que lee un modelo para que este las obedezca.

El medio taiwanés iThome informó el 13 de noviembre de que el borrador abarca el aprendizaje automático predictivo, la IA generativa y los sistemas de IA agéntica, con las defensas correspondientes. La parte agéntica, precisa CDO Magazine, aborda las amenazas que surgen de la interacción de los agentes con datos externos, herramientas, habilidades y otros agentes: datos no fiables, herramientas y habilidades maliciosas, flujos multiagente y tareas de larga duración.

¿Cómo se envenena una herramienta MCP?

El Model Context Protocol (MCP) es un estándar que permite a los agentes de IA conectarse a herramientas externas ofrecidas por servidores de terceros. Según el resumen de iThome, un agente decide qué herramienta usar a partir de la descripción de texto que aporta el proveedor de la herramienta. El NIST describe a un atacante que introduce instrucciones en la descripción de una herramienta maliciosa para empujar al agente a elegir la herramienta del atacante, o incluso a cambiar su plan original. El NIST llama a esta técnica envenenamiento de herramientas (tool poisoning).

Una segunda técnica es el «rug pull», según iThome. El atacante registra primero un servidor MCP de apariencia normal en un registro público de herramientas. Cuando los usuarios lo han instalado, modifica en secreto las descripciones de herramientas que ofrece el servidor, de modo que el agente ejecute operaciones maliciosas sin volver a pedir el consentimiento del usuario.

iThome añade que investigaciones citadas por el NIST encontraron este tipo de riesgo en servidores MCP en funcionamiento real. El mismo resumen afirma que los mecanismos actuales de alineamiento de seguridad de los modelos de IA siguen siendo insuficientes para frenar un comportamiento malicioso transmitido por una interfaz de herramienta legítima.

¿Qué defensas sugiere el NIST?

Los dos medios recogen listas de mitigaciones distintas y complementarias del borrador:

• Verificar las definiciones de herramientas con firmas criptográficas e identificadores de versión inmutables, y aislar el entorno de ejecución de las herramientas en un entorno aislado o sandbox (iThome).
• Separar las instrucciones de confianza del contenido no fiable, restringir los flujos de información, aplicar controles de acceso y permisos de mínimo privilegio, y usar sandbox y registro de auditoría (CDO Magazine).

¿Por qué un reinicio no basta contra el envenenamiento de la memoria?

Más allá de las herramientas, iThome informa de que el NIST analiza los riesgos de los agentes que ejecutan tareas largas. Si un atacante introduce contenido malicioso en la memoria a largo plazo de un agente, ese contenido puede influir en su comportamiento en tareas posteriores: es el envenenamiento de la memoria. CDO Magazine explica que los agentes recuperan información de sitios web, archivos, bases de conocimiento y memoria persistente, y que las instrucciones maliciosas incrustadas en ese material pueden entrar en el contexto del agente.

Un segundo riesgo es la deriva de instrucciones. Según iThome, a medida que se acumulan los datos de trabajo, un agente puede seguir cada vez menos fielmente sus instrucciones y restricciones iniciales, lo que da a un atacante la oportunidad de cambiar su comportamiento a lo largo de varias interacciones. Si el elemento envenenado es el modelo base o su capa de adaptación, un simple reinicio o una vuelta atrás puede no eliminar el comportamiento malicioso, y puede ser necesario sustituir el modelo o reentrenarlo, también según iThome.

¿Qué cambia para una empresa?

CDO Magazine señala que el borrador es voluntario y no establece requisitos legales ni regulatorios. Además es un borrador: el NIST dice que actualizará el documento conforme evolucionen los ataques y las defensas, y pide comentarios sobre tres preguntas, a saber, los ataques más recientes contra los sistemas actuales y los agénticos en particular, las mitigaciones eficaces más recientes y la nueva terminología que haya que normalizar. El NIST indica que la taxonomía debe servir de base a futuras normas y guías de práctica.

Para una empresa de España o de Latinoamérica que trabaje con proveedores o clientes estadounidenses, el borrador ofrece un vocabulario común para interrogar a sus proveedores y redactar requisitos de seguridad. Nuestra lectura, que no es una declaración del NIST: un primer paso es inventariar cada servidor y herramienta MCP que sus agentes pueden invocar, fijar las versiones en uso, volver a revisar las descripciones de herramientas tras cada actualización, dar a los agentes solo los permisos necesarios y conservar registros de sus acciones. Estos controles forman parte de un marco más amplio de gobernanza de agentes de IA.