Tu IA puede tener más acceso del que crees: permisos, instrucciones y aprobaciones
Decirle a un agente "usa solo el catálogo" no limita lo que la herramienta conectada puede leer. Qué encontró un estudio sobre servidores MCP y una plantilla para definir qué puede leer, cambiar y enviar tu agente.
Un agente es una IA que usa herramientas para hacer tareas. MCP (Model Context Protocol) es la forma estándar de conectarle esas herramientas. Pero MCP no decide por sí solo qué archivos puede tocar el programa que ejecuta cada herramienta: ese programa tiene sus propios permisos.
Ejemplo inventado: autorizas a tu asistente a preparar una cotización con el catálogo. La herramienta que lee el catálogo es un programa. Si ese programa puede leer otras carpetas, lo que tú autorizaste en pantalla es más pequeño que lo que el programa puede hacer de verdad.
Tres cosas que se confunden
| Qué es | En qué consiste | Ejemplo |
|---|---|---|
| Instrucción | Lo que le pides al agente | "Usa solo el catálogo" |
| Permiso técnico | Lo que la herramienta puede leer o cambiar | Acceso solo a la carpeta del catálogo |
| Aprobación | La acción concreta que tú aceptas antes de que pase | Revisar la cotización antes de enviarla |
Escribir "no leas otras carpetas" no cambia los permisos del sistema. Y una aprobación, por ejemplo en n8n, puede frenar una acción concreta, pero no limita automáticamente lo que puede leer un servidor MCP externo.
Qué encontró el estudio
El preprint "My Credentials, Please": Detecting Filesystem Capability Laundering in MCP Servers at Scale, publicado en octubre de 2026, revisó más de 21.000 servidores MCP de nueve registros. Encontró que 787 de 4.806 servidores analizados tenían acceso a archivos aunque su función no era de archivos. Luego probó candidatos con credenciales falsas puestas fuera del alcance previsto y confirmó 150 casos vulnerables (contados como pares de herramienta y política, no como 150 empresas atacadas).
También comparó qué pasaba con y sin aislamiento (un "sandbox" que encierra al programa en una zona limitada). Las políticas de aislamiento que probaron contuvieron esos accesos indebidos sin dañar el uso normal.
Qué hacer con tu agente
En vez de darle acceso a una aplicación completa, define recursos y acciones concretas. Para la cotización del ejemplo:
| Recurso o acción | Permiso propuesto | Cómo lo compruebas |
|---|---|---|
| Catálogo | Solo leer | Consulta el producto correcto |
| Carpeta de borradores | Crear el borrador | El archivo queda donde acordaron |
| Cualquier otra carpeta | Sin acceso | El intento queda bloqueado por el sistema |
| Enviar la cotización | Con tu aprobación | Si rechazas, no se envía nada |
Guarda estas cuatro preguntas para cada herramienta:
- ¿Qué recurso necesita, con nombre concreto?
- ¿Solo leer, o también modificar?
- ¿Qué acción necesita mi aprobación antes de pasar?
- ¿Cómo voy a comprobar que los límites funcionan?
Prueba tus límites con datos inventados
- Prepara dos archivos de prueba. un catálogo inventado en la carpeta autorizada y otro archivo inventado en una carpeta excluida. Nada de contraseñas ni datos reales.
- Configura los permisos en la herramienta. y pide la cotización. Comprueba que lee el catálogo y deja el borrador correcto.
- Verifica el bloqueo en el registro. que el acceso al archivo excluido queda denegado por el sistema. Que la IA diga "no lo leí" no demuestra que no pueda leerlo.
- Prueba la aprobación. si hay una herramienta de envío, usa un destino tuyo de prueba: rechaza una solicitud y comprueba que no salió nada; aprueba otra y compara lo enviado con lo que revisaste.
Plantilla de instrucciones para tu agente
CONTEXTO
- Objetivo del agente: [tarea].
- Recursos configurados para esta tarea: [lista].
- Operaciones permitidas: [lista concreta].
- Operaciones que necesitan mi aprobación: [lista concreta].
TAREA
- Haz la operación acordada dentro de lo autorizado.
- Si te falta un acceso, avísame del bloqueo.
- No intentes ampliar permisos ni cambiar la configuración.
- Antes de cualquier acción que necesite aprobación, muéstrame una vista previa.
FORMATO
- Resultado producido.
- Recursos que usaste y acciones que hiciste.
- Evidencia que se pueda revisar.
- Bloqueos y cosas pendientes de verificar.Si quieres profundizar, lee también la guía sobre conexiones de IA y seguridad. Y si vas a conectar agentes a la información de tu empresa y quieres hacerlo con los límites bien puestos desde el principio, escríbeme por WhatsApp.
Fuentes
- "My Credentials, Please": Detecting Filesystem Capability Laundering in MCP Servers at Scale, preprint, octubre de 2026: arxiv.org/abs/2610.22301
- n8n, revisión humana antes de usar herramientas (documentación oficial): docs.n8n.io
- Google Developers Blog, Evaluating AI agents: moving past the vibe check, 15 de octubre de 2026: developers.googleblog.com
Los ejemplos, la matriz y el ejercicio son una adaptación educativa de ia con lala. No son resultados propios ni una auditoría de herramientas reales.
Soy Lala. Explico la IA fácil para que nada se te quede atrás. Si quieres esto aplicado en tu empresa —capacitar a tu equipo, automatizar lo repetitivo o montar un WhatsApp que responda solo— escríbeme y te digo con honestidad qué te sirve.
Escríbeme por WhatsApp →