Permisos excesivos: aplicar mínimo privilegio a servidores MCP

Introducción

Un servidor puede funcionar correctamente y aun así tener acceso a más datos o acciones de los necesarios. El mínimo privilegio no elimina todos los riesgos, pero acota el impacto de una llamada no esperada.

Del permiso general a capacidades concretas

Empieza con una matriz de herramientas: para cada una, define propósito, identidad invocadora, recursos, operaciones, efectos y datos devueltos. Separa lectura de escritura y evita que una herramienta de consulta herede permisos de administración. Limita los datos por usuario, proyecto o recurso y valida el objeto solicitado en el servidor, no solo en la interfaz.

Las credenciales deben pertenecer a una identidad de servicio delimitada, con rotación y expiración apropiadas al caso. Para transporte HTTP con autorización MCP, el protocolo describe scopes y requisitos del flujo; la guía de seguridad recomienda solicitar scopes acordes a la operación. No se debe interpretar una conexión autenticada como autorización irrestricta a cada función.

Controles operativos

Deshabilita las herramientas no necesarias, restringe destinos de red y acceso al sistema de archivos, y aísla procesos cuando corresponda. Define límites para volumen, tamaño y frecuencia de solicitudes. Para acciones de impacto alto, añade confirmación informada y una ruta de reversión cuando sea posible.

Revisa permisos periódicamente y después de cambios de servidor, propietario o integración. Prueba casos de acceso denegado además del camino feliz. Una prueba debe confirmar que el servidor no puede alcanzar recursos ajenos a la tarea, incluso cuando recibe parámetros inesperados.

Conclusión

El mínimo privilegio se aplica a cada tramo: proceso, herramienta, token, archivo, API y usuario. Reducir la autoridad disponible es más confiable que esperar que el modelo siempre elija no usarla.