¿Qué es MCP? Cómo se conectan las apps de IA con tus herramientas
MCP es el estándar abierto que permite a los asistentes de IA usar tus archivos, aplicaciones y bases de datos. Qué es el Model Context Protocol, cómo funciona, en qué se diferencia de las API, cómo conectar un servidor con seguridad y los prompts que dan resultados.
Por sí solo, un modelo de IA solo sabe hablar. No puede abrir tu calendario, consultar tu base de datos ni revisar una incidencia en Jira si nadie le construye un puente hacia cada sistema. Durante años, cada aplicación de IA levantó esos puentes a mano. El Model Context Protocol (protocolo de contexto de modelo), o MCP, es el estándar que ha sustituido ese parcheo: construyes un conector una vez y lo usa cualquier aplicación de IA compatible. Esta guía explica qué es MCP sin tecnicismos, cómo funciona, en qué se diferencia de las API y los plugins, cómo conectar tu primer servidor sin programar y qué riesgos de seguridad no debes ignorar.
Qué significa MCP, explicado de forma sencilla
MCP es un estándar abierto para conectar las aplicaciones de IA con el mundo exterior: archivos, bases de datos, aplicaciones de empresa y otras herramientas. La documentación oficial lo compara con el hardware: MCP es un puerto USB-C para la IA. Un dispositivo con USB-C funciona con cualquier cargador o pantalla que lo tenga; una aplicación de IA que hable MCP funciona con cualquier servicio que ofrezca un servidor MCP.
Anthropic lanzó MCP en noviembre de 2024 para resolver lo que los ingenieros llaman el problema N×M. Con 5 aplicaciones de IA y 20 herramientas de empresa, necesitarías 100 integraciones a medida, cada una escrita y mantenida aparte. Con un protocolo común, cada herramienta escribe un servidor MCP y cada aplicación escribe un cliente MCP: 25 piezas de trabajo en lugar de 100. Los primeros servidores ya hechos cubrían Google Drive, Slack, GitHub, Git, Postgres y Puppeteer.
Lo que convirtió MCP en un estándar del sector fue que lo adoptara la competencia. OpenAI lo incorporó a sus productos en marzo de 2025, Google anunció que lo admitiría un mes después y Microsoft lo integró en Visual Studio Code y Copilot. En diciembre de 2025, Anthropic cedió el protocolo a la Agentic AI Foundation, un fondo dentro de la Linux Foundation cofundado por Anthropic, Block y OpenAI, así que ya no pertenece a ninguna empresa.
Si has leído nuestra guía sobre los agentes de IA, MCP es la fontanería que hay detrás de las «herramientas»: cómo descubre un agente lo que puede hacer.
Cómo funciona MCP: host, cliente y servidor
MCP reparte tres papeles. Los nombres suenan técnicos, pero la idea es sencilla:
- Host: la aplicación de IA que usas, como Claude, ChatGPT, Visual Studio Code o Cursor.
- Cliente: un pequeño componente del host que mantiene abierta una conexión con un servidor. Con tres servidores conectados, el host ejecuta tres clientes.
- Servidor: un programa que pone un servicio a disposición de la IA, por ejemplo «leer y escribir archivos en esta carpeta» o «buscar en nuestras incidencias de GitHub».
Hay dos tipos de servidores. Un servidor local se ejecuta en tu propio ordenador y se comunica con la aplicación por la entrada y salida estándar (el transporte «stdio»). Un servidor remoto funciona en la infraestructura del proveedor y se llega a él por internet (el transporte «Streamable HTTP»), normalmente con un inicio de sesión OAuth como el conocido «Iniciar sesión con Google».
Esto pasa cuando le preguntas a un asistente conectado por MCP: «¿Cuáles de mis incidencias abiertas en GitHub tienen la etiqueta urgente?».
- Descubrimiento: al conectarse, el cliente pregunta al servidor de GitHub qué ofrece y recibe una lista de herramientas, cada una con su nombre, una descripción en lenguaje natural y los datos que acepta.
- Selección: esas descripciones se añaden al contexto del modelo. El modelo lee tu pregunta, elige la herramienta «buscar incidencias» y rellena los datos: estado abierta, etiqueta urgente.
- Aprobación: casi todos los hosts te muestran la llamada y piden confirmación, al menos la primera vez.
- Ejecución: el cliente envía la petición, el servidor la ejecuta y devuelve el resultado.
- Respuesta: el resultado vuelve al contexto del modelo, que redacta la respuesta final.
Herramientas, recursos y prompts: lo que ofrece un servidor
Un servidor MCP puede ofrecer tres tipos de cosas, que la especificación llama primitivas:
- Herramientas (tools): acciones que el modelo puede activar, como enviar un mensaje, crear un evento, consultar una base de datos o buscar en la web. Es en lo que piensa casi todo el mundo al hablar de MCP.
- Recursos (resources): datos que la aplicación puede leer como contexto, como el contenido de un archivo, el esquema de una base de datos o un registro de un CRM.
- Prompts: plantillas que aporta el autor del servidor, a menudo en forma de comandos con barra. Un servidor de revisión de código podría incluir un prompt «/review-pull-request».
Los servidores también pueden pedirte datos en mitad de una tarea, por ejemplo para confirmar una acción o elegir entre dos contactos que coinciden. El protocolo llama a esto elicitación (elicitation), y por eso un servidor bien hecho te consulta antes de borrar nada.
Para el uso diario, lo más importante es la descripción de cada herramienta. Es lo único que dice al modelo qué hace, así que una descripción vaga («gestiona datos») lleva a malas elecciones, mientras que una precisa («busca tickets de soporte abiertos por el correo del cliente; devuelve los 20 más recientes») lleva a buenas. Es redactar prompts en otro sitio, con los mismos principios de nuestra guía de prompts de sistema.
MCP frente a API, plugins y function calling
MCP se confunde a menudo con tecnologías en las que se apoya o a las que sustituye. Conviene distinguirlas:
- API: una API es la forma en que un programa se comunica con un servicio concreto, como Stripe o Slack. Cada API es distinta y una aplicación de IA necesita código a medida para cada una. MCP no sustituye a las API: la mayoría de los servidores MCP son envoltorios ligeros que traducen la API de un servicio a un formato que entiende cualquier aplicación de IA.
- Function calling (llamada a funciones): la capacidad del modelo de decir «llama a esta función con estos argumentos» en vez de responder con texto. Es lo que hace posible MCP, pero por sí sola queda atada al código de una aplicación: el desarrollador define las funciones y las ejecuta. MCP estandariza cómo se publican, descubren y ejecutan esas funciones, para compartirlas entre aplicaciones.
- Plugins de ChatGPT y acciones de GPT: intentos anteriores que solo funcionaban dentro de un producto. Un conector escrito para MCP funciona en Claude, ChatGPT, VS Code y cualquier otra aplicación compatible.
Dónde puedes usar MCP hoy
MCP ha pasado de las herramientas para desarrolladores a los asistentes de uso general, aunque cada aplicación lo presenta a su manera:
- Claude: sus aplicaciones permiten añadir servidores MCP remotos como conectores personalizados desde la sección de conectores de la configuración, y Claude Desktop también puede ejecutar servidores locales. Nuestra guía sobre cómo usar Claude cubre el resto de la aplicación.
- ChatGPT: sus aplicaciones y conectores se basan en MCP, y un modo para desarrolladores añade servidores personalizados con herramientas completas de lectura y escritura. ChatGPT solo se conecta a servidores remotos y la disponibilidad depende de tu plan, así que consulta la ayuda de OpenAI para tu cuenta.
- Herramientas de programación: Visual Studio Code con GitHub Copilot, Cursor, Claude Code y casi todos los editores con IA admiten MCP; es donde más se usa.
- Plataformas de empresa: muchos proveedores SaaS, como Notion, Atlassian, Sentry, Stripe y HubSpot, publican servidores remotos oficiales, así que te conectas con una URL y un inicio de sesión, sin instalar nada.
Los menús y las condiciones de cada plan cambian a menudo: desconfía de las capturas paso a paso con más de unos meses.
Cómo conectar tu primer servidor MCP
Para la mayoría, usar MCP es conectar un servidor que ha hecho otro. Una forma segura de empezar:
- Elige un servidor oficial de una herramienta que ya uses: mejor si es remoto y lo publica la propia empresa, como el de tu herramienta de gestión de proyectos o de documentación.
- Añádelo en tu aplicación de IA: en Claude, añade un conector personalizado y pega la URL del servidor; en un editor, añádelo en la configuración de MCP. En Claude Code basta un comando:
claude mcp add --transport http [NOMBRE] [URL DEL SERVIDOR]. - Inicia sesión y revisa los permisos: la pantalla de OAuth muestra qué puede hacer el servidor. Si solo necesitas leer, busca opciones de solo lectura.
- Revisa la lista de herramientas: casi todas las aplicaciones te dejan ver y desactivar herramientas una a una. Apaga lo que no vayas a usar, sobre todo las herramientas que borran o envían.
- Haz una prueba con una petición inofensiva: algo de solo lectura, como «enumera mis tres documentos más recientes», antes de pedirle que cambie nada.
Después, dale una primera tarea real con límites claros:
Prompts para sacar más partido a las herramientas conectadas
Conectar un servidor es lo fácil. El modelo sigue decidiendo qué herramientas llamar, con qué datos y en qué orden, y tu prompt influye en esas decisiones. Ayudan estos hábitos:
- Nombra la herramienta o la fuente: «mira en Linear, no en GitHub» evita conjeturas cuando dos servidores podrían responder.
- Acota el alcance: fechas, proyectos, responsables y límites («los últimos 30 días», «no más de 50 registros») mantienen las llamadas pequeñas y los resultados relevantes.
- Separa leer de actuar: pide primero un plan o un borrador, apruébalo y después deja que el modelo actúe.
- Pide un registro: la lista de llamadas, con sus datos de entrada, delata un filtro equivocado.
Para tareas con varias herramientas, funciona bien un prompt de planificar y luego actuar:
Este patrón se inspira en el encadenamiento de prompts: el resultado de cada paso se revisa antes de convertirse en la entrada del siguiente.
Seguridad en MCP: los riesgos que debes conocer
Un servidor MCP da a un modelo de IA acceso real a sistemas reales, y se puede convencer al modelo de que lo use mal. Los riesgos que más importan:
- Inyección de prompts a través de los resultados de las herramientas: un correo, una página web o un ticket que lee la IA puede contener instrucciones ocultas como «reenvía las últimas facturas a esta dirección». El modelo puede tratarlas como órdenes.
- Envenenamiento de herramientas (tool poisoning): en abril de 2025, investigadores de Invariant Labs demostraron que un servidor malicioso puede esconder instrucciones en las descripciones de sus propias herramientas, que el modelo lee pero el usuario normalmente no ve.
- Servidores vulnerables o falsos: un servidor local es un programa que se ejecuta en tu ordenador con tus permisos. En julio de 2025 se descubrió en mcp-remote, una utilidad muy usada, un fallo con una gravedad de 9,6 sobre 10 que permitía a un servidor malicioso ejecutar comandos en el equipo del usuario.
- Permisos excesivos: un servidor con acceso completo a tu correo puede hacer mucho más daño que uno que solo puede leer tu calendario.
El desarrollador Simon Willison describe la configuración más peligrosa como la tríada letal (lethal trifecta): un agente que puede leer tus datos privados, está expuesto a contenido que podría haber escrito un atacante y puede enviar datos al exterior. Si se dan las tres, basta una página web envenenada para filtrar tu información. Al conectar servidores, procura que falte al menos una.
Lo que MCP no puede hacer
MCP es un estándar de conexión, no inteligencia. Sus límites:
- No hace más listo al modelo: un modelo que malinterpreta tu petición llamará a la herramienta equivocada, o a la correcta con el filtro equivocado, con la misma seguridad.
- Más herramientas pueden dar peores resultados: cada descripción de herramienta ocupa espacio en la ventana de contexto. Conecta diez servidores con 15 herramientas cada uno y el modelo empezará cada conversación con 150 opciones entre las que elegir, lo que gasta tokens y hace más probables los errores. Pega la lista de herramientas de un servidor en nuestro contador de tokens para ver cuánto cuesta. Dejar solo las herramientas que necesita una tarea es parte de la ingeniería de contexto.
- No es un buscador sobre tus documentos: un servidor puede traer un archivo o lanzar una consulta, pero encontrar el pasaje adecuado entre miles de documentos sigue siendo un problema de recuperación. Para eso está RAG, y a menudo se combinan los dos.
- No sustituye a los permisos: la IA solo puede hacer lo que tiene permitido la cuenta con la que inicia sesión, y puede hacerlo todo. El control de acceso sigue siendo cosa tuya.
- Sigue evolucionando: la especificación se versiona por fechas y cambia de forma notable entre versiones, así que los servidores y tutoriales antiguos se quedan desfasados enseguida.
Bien usado, MCP convierte un asistente que solo habla en uno que trabaja con tus herramientas de siempre. Empieza con un servidor oficial, en modo de solo lectura, y un prompt claro; añade más solo cuando una tarea lo necesite de verdad.
