Los agentes de IA están diseñados para actuar como asistentes útiles, pero una nueva investigación de TikTok sugiere que también pueden servir como conductos involuntarios para el robo de datos. Un artículo del Privacy Innovation Lab de la empresa sostiene que los sistemas multipersona del Model Context Protocol (MCP) rompen los supuestos de seguridad en los que los desarrolladores han confiado.

Según el estudio, una descripción de herramienta maliciosa puede inducir a un agente de gran modelo de lenguaje (LLM) a enviar las consultas del usuario y sus propias respuestas a una herramienta de registro controlada por un atacante. El usuario hace una pregunta, el agente responde y un tercero guarda silenciosamente una copia de todo el intercambio.

Lo que encontró el artículo

El artículo, titulado "When Tools Become Prompts: Why Multi-Turn MCP Systems Break Traditional Security Assumptions", fue publicado el 27 de febrero de 2026 por Sirat Samyoun y Jian Du del Privacy Innovation Lab de TikTok.

Su enfoque es el Model Context Protocol, un estándar que funciona como un adaptador universal que permite a los agentes de IA conectarse a herramientas y servicios externos durante una conversación.

El título captura la idea central: la descripción de una herramienta es texto que el modelo lee, y el texto que un modelo lee puede funcionar como una instrucción. Si un atacante escribe esa descripción, en la práctica está escribiendo parte del prompt. El agente puede entonces seguir esas direcciones ocultas, incluida la instrucción de reenviar conversaciones a un servicio de registro controlado por el atacante.

Datos sensibles que se niegan a salir

El envenenamiento de herramientas es solo parte de la historia. Los investigadores también descubrieron que los campos sensibles tienden a persistir a lo largo de conversaciones multipersona y pueden filtrarse a través de los límites entre servidores.

Sus ejemplos incluyen números de seguro social y otros identificadores. Esos detalles podrían divulgarse incluso cuando al agente se le había indicado explícitamente omitir información sensible.

El equipo realizó experimentos controlados en servidores MCP públicos e integraciones. Demostraron que respuestas de herramientas completamente legítimas podían combinarse para reconstruir información de identificación personal (PII).

Ningún servidor individual tuvo que entregar un perfil completo. En cambio, los datos extraídos de servidores MCP separados podían ensamblarse, lo que agrava la filtración indirecta. Para quien opera un agente con múltiples integraciones, esto significa que la exposición no reside en una sola herramienta, sino en lo que varias herramientas individualmente benignas revelan en combinación.

Por qué las verificaciones de seguridad por turno pasan por alto el problema

La crítica más aguda del artículo apunta a cómo suele evaluarse la seguridad de MCP. La mayoría de las evaluaciones examina cada turno de una conversación de forma aislada.

Los investigadores sostienen que este enfoque pasa por alto el riesgo acumulativo. La exposición se acumula a través de los turnos y de las herramientas, y solo se hace visible al examinar todo el historial de la conversación. Bajo esa lógica, una auditoría que apruebe cada turno individual aún podría omitir filtraciones que solo aparecen a lo largo de una sesión completa.

Un estándar joven con una superficie de ataque creciente

MCP surgió como estándar a finales de 2024. Desde entonces se ha extendido a herramientas populares como Cursor y Claude Desktop. Ese alcance sitúa las preocupaciones del artículo dentro de un software del que ya dependen muchos desarrolladores y usuarios finales.

El artículo de TikTok se basa en una ola de investigación de seguridad iniciada en 2025. Ese trabajo anterior planteó preocupaciones sobre el envenenamiento de descripciones de herramientas y vulnerabilidades de cadena de suministro vinculadas a servidores MCP.

El envenenamiento de descripciones de herramientas se ha señalado como un riesgo desde principios de 2025. Los benchmarks también han puesto cifras al tema: MCPTox reporta una tasa promedio de éxito de ataque del 36.5% entre modelos.

Lo que añaden Samyoun y Du es la óptica multipersona. Las preocupaciones anteriores se centraban en si una sola herramienta podía ser confiable. Este artículo pregunta qué sucede cuando muchas herramientas y muchos turnos interactúan a lo largo de la vida de una conversación.

Qué significa esto para desarrolladores y empresas

Para los desarrolladores, el mensaje es incómodo pero claro. Evaluar cada herramienta individualmente y revisar cada respuesta de forma aislada puede no ser suficiente.

Los investigadores hacen un llamado a todos los integrantes del ecosistema MCP, desde desarrolladores hasta usuarios finales, a replantear sus marcos de seguridad. En la práctica, esto apunta a tratar las descripciones de herramientas como entradas no confiables y a evaluar el riesgo a lo largo de la conversación completa en lugar de turno por turno.

Los hallazgos también plantean preguntas sobre la cadena de suministro. Cuando los agentes pueden conectarse a servidores MCP públicos, cada herramienta de terceros es un punto de entrada potencial para instrucciones envenenadas. La pregunta inmediata es si la práctica seguirá el consejo del artículo: si las descripciones de herramientas comienzan a tratarse como entradas no confiables y si las revisiones de seguridad se amplían de turnos individuales a conversaciones completas.