L'auge dels sistemes basats en el Model Context Protocol (MCP) ha revolucionat la manera com els models de llenguatge de gran escala (LLMs) interactuen amb eines i serveis externs. Aquest protocol obert i estandarditzat permet als agents d'IA delegar tasques complexes —des de consultes a bases de dades fins a l'automatització de fluxos de treball— a servidors especialitzats. No obstant això, la ràpida adopció de MCP ha deixat en segon pla un problema de seguretat fonamental: la confusió d'identitat del qui crida. Aquesta vulnerabilitat, que tractem com el taló d'Aquil·les dels sistemes MCP, exposa les organitzacions a riscos greus que van des de la fuita de dades fins al control no autoritzat d'operacions crítiques.
El mecanisme subjacent és enganyosament simple. En l'arquitectura típica de MCP, un client —per exemple, un LLM o una aplicació que l'integra— es comunica amb un o diversos servidors que exposen eines. El problema sorgeix perquè aquests servidors, per disseny, sovint no autentiquen la identitat de qui realitza la crida. Un cop es concedeix una autorització inicial, l'estat persisteix, i qualsevol invocació posterior des de qualsevol font dins del mateix context és tractada com a legítima. Això significa que un actor maliciós que aconsegueixi infiltrar-se en el mateix flux de comunicació —ja sigui mitjançant un atac d'intermediari, una injecció en el prompt o una vulnerabilitat en el client— podria invocar eines sensibles sense necessitat de credencials addicionals.
La nostra anàlisi conceptual, basada en estudis recents —sense copiar dades específiques—, revela que la majoria dels servidors MCP confien en una autorització persistent i no implementen autenticació per eina. Un servidor pot exposar funcions per llegir dades financeres, escriure en bases de dades o fins i tot executar ordres en infraestructura cloud. Si totes aquestes eines comparteixen el mateix nivell de confiança després d'una única autorització, el perímetre de seguretat s'esvaeix. La conseqüència és un atac superficial expandit: qualsevol crida que arribi al servidor, independentment del seu origen, té potencialment accés complet a les capacitats del servidor. És, en essència, un model de 'confiança cega' que contradiu els principis més bàsics de la ciberseguretat moderna.
Des d'una perspectiva empresarial, aquesta feblesa és especialment alarmant per a companyies que utilitzen agents d'IA per automatitzar processos crítics. Imaginem un sistema de Business Intelligence que, mitjançant Power BI, consulta dades de vendes a través d'un servidor MCP. Si aquest servidor no verifica la identitat del qui crida més enllà d'una autorització inicial, un atacant podria manipular les consultes per extreure informació confidencial o alterar informes. De la mateixa manera, en entorns cloud amb AWS o Azure, un agent d'IA que administra recursos podria ser enganyat per desplegar instàncies no autoritzades o modificar configuracions de seguretat. La manca de granularitat en l'autorització converteix cada servidor MCP en un possible punt únic de fallada.
Per mitigar aquests riscos, cal repensar l'arquitectura de confiança. Les solucions passen per implementar autenticació explícita del qui crida en cada invocació —no només al inici— i per granularitzar els permisos a nivell d'eina. Tècniques com l'ús de tokens amb abast limitat, la vinculació de la identitat del qui crida en el protocol de transport (per exemple, mitjançant mTLS) i l'auditoria contínua de les invocacions són passos obligats. A més, l'adopció d'un enfocament de confiança zero en els sistemes MCP permet que cada sol·licitud sigui validada independentment, reduint dràsticament la superfície d'atac.
A Q2BSTUDIO, entenem que la seguretat no és un afegit, sinó un pilar del desenvolupament de programari. Per això, quan dissenyem aplicacions a mida que integren agents d'IA o protocols com MCP, apliquem des de l'inici patrons d'autenticació forta i autorització detallada. La nostra experiència en ciberseguretat ens permet auditar aquests sistemes i reforçar els seus punts febles. Així mateix, les nostres solucions al núvol (tant en AWS com en Azure) incorporen mecanismes d'identitat gestionada que prevenen la confusió de qui crida. No es tracta només d'implementar MCP, sinó de fer-ho de manera segura i escalable. Per a les empreses que busquen automatització amb intel·ligència artificial, oferim serveis d'automatització que garanteixen que cada procés —des de l'extracció de dades fins a la generació d'informes en Power BI— estigui protegit contra accessos no autoritzats.
La confusió d'identitat del qui crida no és un error menor: és un defecte de disseny que, si no es corregeix, frenarà l'adopció empresarial dels agents d'IA. Les organitzacions que integrin MCP han d'exigir als seus proveïdors —i als seus propis equips de desenvolupament— que implementin controls fins. A Q2BSTUDIO, treballem amb tecnologies d'avantguarda perquè els nostres clients puguin aprofitar tot el potencial de la IA i el núvol sense sacrificar la seguretat. Perquè, al final, la confiança no s'hereta: es verifica a cada crida.
