Amenazas de agentes, MCP y MITRE ATLAS
Las amenazas propias de los agentes que planifican, recuerdan y actúan: OWASP Top 10 for Agentic Applications (ASI01–ASI10), el OWASP MCP Top 10 y MITRE ATLAS, el ATT&CK de la IA.
Un LLM responde; un agente actúa. Planifica para alcanzar un objetivo, mantiene memoria entre pasos, llama a herramientas y opera con autoridad delegada: tus credenciales, tus permisos, tu nombre. Eso multiplica la superficie de ataque más allá del Top 10 de LLM. Aparecen amenazas que no existen en un chatbot: memoria envenenada que persiste, herramientas usadas con mala intención, exfiltración a través de llamadas legítimas y fallos que se propagan en cascada entre varios agentes.
Tres marcos te dan vocabulario y estructura para razonar sobre esto: el OWASP Top 10 for Agentic Applications, el OWASP MCP Top 10 (la capa de conexión agente–herramienta) y MITRE ATLAS (el ATT&CK de la IA).
Paso 1 de 6El bucle
Un agente no responde y ya está: planifica, recuerda, llama herramientas, actúa con autoridad delegada y vuelve a empezar. Cada vuelta del bucle añade superficie de ataque.
OWASP Top 10 for Agentic Applications (ASI01–ASI10)#
Publicado en diciembre de 2025 por la Agentic Security Initiative (ASI) de OWASP, es el Top 10 específico de aplicaciones agénticas. Resumido:
| ID | Categoría | De qué va |
|---|---|---|
| ASI01 | Agent Goal Hijack | Se reescribe el objetivo del agente (vía inyección) y planifica para el atacante. |
| ASI02 | Tool Misuse | El agente usa una herramienta legítima para un fin dañino o fuera de alcance. |
| ASI03 | Identity & Privilege Abuse | Abuso de la identidad y los permisos delegados del agente; confused deputy. |
| ASI04 | Agentic Supply Chain Vulnerabilities | Componentes del agente comprometidos: modelos, herramientas, servidores MCP, plugins. |
| ASI05 | Unexpected Code Execution | El agente ejecuta código no previsto (en su sandbox, intérpretes, eval). |
| ASI06 | Memory & Context Poisoning | Se envenena la memoria o el contexto persistente; el veneno vuelve en turnos futuros. |
| ASI07 | Insecure Inter-Agent Communication | Comunicación entre agentes sin autenticar ni validar: un agente confía en otro ciegamente. |
| ASI08 | Cascading Failures | Un fallo (o una salida envenenada) se propaga entre agentes y amplifica el daño. |
| ASI09 | Human-Agent Trust Exploitation | Se abusa de la confianza de la persona en el agente para que apruebe lo que no debe. |
| ASI10 | Rogue Agents | Agentes no autorizados, manipulados o que operan fuera de su gobierno previsto. |
Fíjate en el hilo común con la inyección de prompt: ASI01 (goal hijack) y ASI06 (memory poisoning) son inyección aplicada al plan y a la memoria del agente. El marco agéntico no sustituye al de LLM; lo extiende hacia lo que pasa cuando el modelo planifica, recuerda y actúa.
OWASP MCP Top 10: la capa de conexión#
El Model Context ProtocolMCPProtocolo abierto que estandariza cómo un agente LLM se conecta a herramientas, datos y servicios externos a través de servidores MCP. (MCP) estandariza cómo un agente se conecta a herramientas y datos: un servidor MCP publica capacidades y el agente las invoca. Es una capa comodísima para integrar, y por eso mismo una superficie de ataque nueva: confías en código de terceros que se mete en el bucle de decisión del agente.
El OWASP MCP Top 10 cataloga esos riesgos. Está en beta (documento vivo), así que tómalo como guía, no como lista cerrada. Sus categorías (MCP01:2025…MCP10:2025) cubren:
- MCP01 Token Mismanagement & Secret Exposure — mala gestión de tokens y secretos en el servidor MCP.
- MCP02 Privilege Escalation via Scope Creep — el servidor acumula más permisos de los que necesita.
- MCP03 Tool Poisoning — la definición de una herramienta lleva instrucciones trampa que el agente obedece.
- MCP04 Supply Chain Attacks & Dependency Tampering — dependencias del servidor MCP comprometidas.
- MCP05 Command Injection & Execution — el servidor ejecuta comandos a partir de entrada no confiable.
- MCP06 Prompt Injection via Contextual Payloads — inyección colada en lo que el servidor devuelve al contexto.
- MCP07 Insufficient Authentication & Authorization — el servidor no autentica ni autoriza bien quién lo usa.
- MCP08 Lack of Audit and Telemetry — sin registro, un abuso del canal MCP pasa inadvertido.
- MCP09 Shadow MCP Servers — servidores MCP no aprobados conectados “por conveniencia”.
- MCP10 Context Injection & Over-Sharing — se comparte con el servidor más contexto (y PII) del necesario.
MITRE ATLAS: el ATT&CK de la IA#
MITRE ATLASMITRE ATLASBase de conocimiento estilo ATT&CK de tácticas y técnicas de adversarios contra sistemas de IA/ML, mantenida por MITRE. (Adversarial Threat Landscape for AI Systems) traslada el modelo de MITRE ATT&CK al mundo de la IA: una matriz pública de tácticas (el objetivo del adversario) y técnicas (cómo lo logra), documentadas con casos reales. Reutiliza la mayoría de tácticas de ATT&CK (Reconnaissance, Initial Access, Execution, Defense Evasion, Credential Access, Discovery, Lateral Movement, Collection, Command and Control, Exfiltration, Impact…) y añade dos específicas de IA:
- AI Model Access — el adversario busca acceso al modelo en sí (API, pesos, o el modelo embebido), un requisito de muchos ataques.
- AI Attack Staging — preparar el ataque contra el modelo: envenenar datos, crear adversarial examples, o robar/replicar el modelo.
La jerarquía completa, cinco técnicas clave y cómo usar ATLAS junto a STRIDE están en Modelado de amenazas para IA. ATLAS es el sitio al que acudir para hablar con precisión de un ataque a IA (“evasión del modelo”, “extracción”, “envenenamiento”) y, sobre todo, para mapear tus detecciones. Sus versiones recientes incorporan técnicas centradas en IA generativa y agentes (envenenamiento de contexto y memoria, manipulación de la configuración del agente, exfiltración a través de la invocación de herramientas).
Tu turno
Mapea el bucle de tu agente
Dibuja el bucle de un agente que tengas (o uno de ejemplo): plan → memoria → herramientas (¿MCP?) → acción → ¿otros agentes? Para cada etapa:
- Anota qué categoría ASI acecha ahí y qué técnica de ATLAS la describiría.
- Si usas MCP, lista tus servidores: ¿cuáles son de terceros?, ¿has fijado versiones y revisado las definiciones de herramientas?, ¿hay alguno shadow (MCP09)?
- Marca la acción irreversible más peligrosa del agente y decide dónde pones la aprobación humana.
Como siempre, sobre tu propio sistema y tu lab, nunca contra infraestructura ajena.
Reto
Tu agente guarda en memoria 'el usuario prefiere que no confirme antes de enviar correos' tras leer un documento. Tres turnos después, envía un correo a un externo sin preguntar. ¿Qué categorías entran en juego?
▸Mostrar solución
Es ASI06 (Memory & Context Poisoning) en el origen: un contenido no confiable escribió una preferencia falsa en la memoria persistente. Y se materializa como ASI02 (Tool Misuse) cuando esa memoria envenenada hace que el agente use la herramienta de correo saltándose la confirmación. La raíz vuelve a ser prompt injection indirecta; la lección es que la memoria también es entrada no confiable: valida lo que entra en ella y no dejes que reconfigure controles de seguridad (como la aprobación humana).
Reto
¿Por qué un servidor MCP malicioso es peligroso aunque el modelo sea 'bueno' y esté bien alineado?
▸Mostrar solución
Porque el ataque no pasa por corromper al modelo, sino por envenenar su contexto: la descripción de las herramientas del servidor MCP entra en el prompt del agente como texto de confianza. Un modelo perfectamente alineado seguirá, obedientemente, las instrucciones trampa que trae esa descripción (MCP03, Tool Poisoning). La defensa no es “un modelo mejor”, es tratar el servidor como código no confiable: revisarlo, fijar versiones, aislarlo y limitar sus permisos.
En resumen#
- Los agentes añaden amenazas que un chatbot no tiene: planifican, recuerdan, usan herramientas y actúan con autoridad delegada.
- OWASP Top 10 for Agentic Applications (ASI01–ASI10), liberado en diciembre de 2025: goal hijack, tool misuse, abuso de identidad/privilegios, supply chain, ejecución inesperada de código, envenenamiento de memoria, comunicación insegura entre agentes, fallos en cascada, abuso de confianza y agentes rogue.
- OWASP MCP Top 10 (beta): riesgos de la capa de conexión agente–herramienta; destaca el servidor MCP malicioso y el tool poisoning (MCP03).
- MITRE ATLAS es el ATT&CK de la IA: tácticas y técnicas con casos reales, con tácticas propias AI Model Access y AI Attack Staging.
- Las defensas convergen: identidad y mínimo privilegio, aislar y verificar la cadena de suministro, validar memoria y comunicación entre agentes, registrar/detectar y exigir aprobación humana.