{"id":1369,"date":"2026-06-30T20:23:45","date_gmt":"2026-06-30T20:23:45","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/30\/microsoft-advierte-que-las-descripciones-de-herramientas-mcp-envenenadas-pueden-hacer-que-los-agentes-de-ia-filtren-datos-cyberdefensa-mx\/"},"modified":"2026-06-30T20:23:45","modified_gmt":"2026-06-30T20:23:45","slug":"microsoft-advierte-que-las-descripciones-de-herramientas-mcp-envenenadas-pueden-hacer-que-los-agentes-de-ia-filtren-datos-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/30\/microsoft-advierte-que-las-descripciones-de-herramientas-mcp-envenenadas-pueden-hacer-que-los-agentes-de-ia-filtren-datos-cyberdefensa-mx\/","title":{"rendered":"Microsoft advierte que las descripciones de herramientas MCP envenenadas pueden hacer que los agentes de IA filtren datos \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Una nueva investigaci\u00f3n de Microsoft muestra c\u00f3mo los atacantes pueden secuestrar agentes de IA que act\u00faan en nombre de un usuario, utilizando nada m\u00e1s que una descripci\u00f3n de herramienta envenenada para hacer que el agente entregue silenciosamente los datos de la empresa a un extra\u00f1o.<\/p>\n

El truco es que el agente nunca infringe una regla. Cada paso parece rutinario, por lo que en una configuraci\u00f3n predeterminada no se puede activar ninguna alarma.<\/p>\n

El trabajo proviene de Microsoft Incident Response y su equipo de investigaci\u00f3n de seguridad Defender, y llega cuando las empresas comienzan a permitir que la IA haga m\u00e1s que leer y resumir.<\/p>\n

\u00bfQu\u00e9 cambia cuando un agente puede actuar?<\/h2>\n

Hasta hace poco, el riesgo de la IA en el lugar de trabajo se enmarcaba principalmente en lo que le\u00eda y escrib\u00eda un modelo. Un documento envenenado pod\u00eda distorsionar una respuesta, y ah\u00ed fue donde termin\u00f3.<\/p>\n

Los agentes son diferentes. Microsoft 365 Copilot puede enviar correos electr\u00f3nicos, crear archivos y cambiar calendarios. Los agentes personalizados creados en Copilot Studio o Azure AI Foundry pueden acceder a los sistemas empresariales y ejecutar trabajos de varios pasos por s\u00ed solos.<\/p>\n

El mismo truco de inyecci\u00f3n que sesga un resumen ahora desencadena una acci\u00f3n. Contra un lector, un ataque cambia la salida. Contra un agente, cambia lo que realmente hace el software.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Estos agentes llegan a los sistemas empresariales a trav\u00e9s de MCP, el Protocolo de contexto modelo<\/a>un protocolo abierto que permite a una IA llamar a herramientas externas de la misma manera que una aplicaci\u00f3n llama a una API. Microsoft la llama la parte de m\u00e1s r\u00e1pido crecimiento de la cadena de suministro de IA agente, lo que la convierte en una superficie de ataque en expansi\u00f3n.<\/p>\n

C\u00f3mo funciona el ataque<\/h2>\n

Cada herramienta MCP viene con una descripci\u00f3n: unas pocas l\u00edneas de texto sin formato que le dicen al agente qu\u00e9 hace la herramienta y cu\u00e1ndo usarla. El agente lee ese texto para decidir c\u00f3mo actuar. \u00c9sa es toda la debilidad. La descripci\u00f3n son s\u00f3lo palabras, y las palabras pueden contener instrucciones.<\/p>\n

microsoft camina a trav\u00e9s<\/a> con un ejemplo de factura, creado para mostrar el patr\u00f3n en lugar de informar sobre una v\u00edctima nombrada. Un equipo de finanzas contrata a un agente para que se encargue de las facturas de los proveedores. Se conecta a tres herramientas, incluido un servicio de \u00abenriquecimiento de facturas\u00bb de terceros cuyo uso fue aprobado pero que nunca recibi\u00f3 una revisi\u00f3n de seguridad real.<\/p>\n

Luego, el atacante actualiza esa herramienta de terceros. El nombre y el resumen visible siguen siendo los mismos. Enterrada en la descripci\u00f3n, disfrazada de notas de formato, hay una orden oculta: tome las \u00faltimas treinta facturas impagas y adj\u00fantelas a la siguiente llamada. MCP detecta cambios en la descripci\u00f3n sobre la marcha. En configuraciones sin un activador de reaprobaci\u00f3n, la versi\u00f3n envenenada se activa sin revisi\u00f3n adicional.<\/p>\n

Despu\u00e9s de eso, un analista hace una pregunta de rutina sobre un proveedor. El agente sigue el orden oculto, recoge las facturas y las env\u00eda como parte de una solicitud de apariencia normal. La herramienta devuelve una respuesta limpia y copia silenciosamente los datos robados a un servidor que controla el atacante. El analista no ve nada malo.<\/p>\n

Cada movimiento que hace el agente es leg\u00edtimo por s\u00ed solo. La herramienta fue aprobada. La consulta de datos se ejecut\u00f3 con los permisos propios del analista. La llamada saliente fue a un servidor que estaba permitido cuando se agreg\u00f3. La debilidad no est\u00e1 en ning\u00fan sistema en particular. Vive en lo que Microsoft llama \u00abel l\u00edmite de confianza entre ellos\u00bb.<\/p>\n

\"\"<\/a><\/div>\n

El problema m\u00e1s profundo es que MCP mezcla instrucciones y datos en el mismo lugar. La descripci\u00f3n de una herramienta vive en la memoria de trabajo del agente justo al lado de sus \u00f3rdenes reales, por lo que editar esa descripci\u00f3n puede orientar al agente con tanta eficacia como reescribir el mensaje del sistema.<\/p>\n

El agente no tiene una forma confiable de distinguir una instrucci\u00f3n honesta de una maliciosa introducida por quien mantiene la herramienta. Microsoft se\u00f1ala que esto no es un error en Copilot en s\u00ed. Es una brecha de confianza que se abre al conectar herramientas externas.<\/p>\n

\u00bfQu\u00e9 deben hacer los defensores?<\/h2>\n

El consejo de Microsoft, resumido en t\u00e9rminos sencillos:<\/p>\n