MCP explicado: qué es y por qué es el estándar

Hay una cifra que resume la trayectoria del Model Context Protocol. A mediados de 2026, los SDK de Python y TypeScript de nivel 1 reciben cerca de 500 millones de descargas al mes. Ocho meses antes, en diciembre de 2025, esa misma cifra rondaba los 97 millones: un crecimiento de cinco veces en poco más de medio año.

Hay una segunda cifra, quizá más elocuente. Más de 10.000 servidores MCP públicos están ya activos en producción. Anthropic presentó el protocolo en noviembre de 2024, y lo adoptaron después OpenAI, Google, Microsoft y Amazon, cada uno a su ritmo.

Hoy lo hablan de forma nativa ChatGPT, Gemini, Microsoft Copilot y Visual Studio Code. Y en diciembre de 2025, Anthropic donó el protocolo a una fundación bajo el paraguas de la Linux Foundation. El objetivo: un estándar neutral que ningún proveedor controla en solitario.

Pocas piezas de infraestructura han pasado tan rápido de “experimento interesante” a “crítico para cualquiera que construya sistemas agénticos”. Este artículo explica qué es MCP, qué problema resuelve, quién lo sostiene, cómo funciona por dentro y qué riesgos trae adoptarlo tan deprisa. No es el tutorial de construcción —ese vendrá después—, sino el mapa conceptual previo.

El problema que MCP resuelve#

Para entender por qué MCP importa, hay que entender el problema que existía antes de él. Un agente de IA es tanto más útil cuanto más puede tocar el mundo real: leer archivos, consultar bases de datos, llamar APIs, actualizar sistemas. Cada una de esas acciones es un paso dentro de el bucle donde vive la ingeniería de un agente. Antes de MCP, cada paso exigía construirse un conector propio desde cero.

Si tenías cinco aplicaciones de IA y cada una necesitaba conectarse a diez herramientas distintas, acababas construyendo cincuenta conectores a medida. Anthropic describió esto como el problema de integración N×M: por cada modelo o aplicación, multiplicado por cada fuente de datos, un conector nuevo que mantener.

Cada equipo implementaba el acceso a herramientas a su manera, escribiendo código personalizado para cada integración que necesitaba resolver. El resultado era duplicación, fragmentación y una ausencia casi total de estándares compartidos entre proyectos.

Hubo intentos previos de resolverlo. El function calling que OpenAI presentó en junio de 2023 y el framework de plugins de ChatGPT abordaban un problema parecido. Pero exigían conectores específicos de cada proveedor: un plugin de ChatGPT no servía para Claude. Faltaba un estándar abierto que cualquiera pudiera implementar.

La idea central#

MCP resuelve el problema N×M convirtiéndolo en N+M. En lugar de que cada agente cargue con su propio conjunto de integraciones, los servidores MCP exponen capacidades de forma estandarizada. Cualquier cliente compatible puede consumirlas sin escribir nada a medida.

Escribes el conector a una herramienta una sola vez, como servidor MCP. A partir de ahí, cualquier agente que hable el protocolo puede usarlo, sin importar quién lo construyó ni en qué modelo corre por debajo.

La analogía que se ha vuelto popular es la del puerto USB-C. Antes de USB-C, cada dispositivo tenía su propio cargador y su propio cable. MCP aspira a ser el USB-C de las conexiones entre IA y el mundo: un solo tipo de puerto para todo.

Este cambio tiene una consecuencia que va más allá de la comodidad: desplaza el desarrollo de agentes de la reinvención a la composición. Los equipos construyen sobre capacidades existentes en lugar de duplicarlas en cada proyecto nuevo.

Cuando un servidor MCP mejora, todos los agentes que lo usan se benefician a la vez, sin que nadie tenga que actualizar nada por su cuenta. Es un modelo de ecosistema, no de silos aislados, y esa propiedad explica buena parte de la velocidad de adopción que veremos a continuación.

Cómo funciona, a grandes rasgos#

MCP usa una arquitectura de tres capas que separa responsabilidades con claridad. Hay un host: la aplicación de IA con la que interactúa el usuario, como un asistente de código o un chat. Ese host mantiene uno o varios clientes, cada uno conectado a un servidor que expone capacidades concretas.

Un solo host puede mantener conexiones simultáneas a servidores distintos, dando al modelo acceso a una superficie unificada de herramientas. Los asistentes de código que ya actúan como host los comparamos en Claude Code, Cursor y Copilot.

La comunicación ocurre sobre JSON-RPC 2.0, y el diseño reutiliza ideas del Language Server Protocol: el estándar que permite que un mismo servidor de lenguaje funcione con muchos editores distintos. Quien conozca cómo trabaja un LSP reconocerá el patrón enseguida.

Lo que un servidor MCP expone son, en esencia, tres tipos de cosas. Las herramientas son acciones que el agente puede ejecutar; los recursos, datos que puede leer; los prompts, plantillas reutilizables. El modelo no llama directamente a estas capacidades: las solicita, y el host las media.

Esa mediación es lo que hace el sistema auditable. Es un principio que conecta con el harness, donde se ha movido la ventaja: el modelo propone, el harness dispone.

El protocolo, además, sigue moviéndose. La especificación de julio de 2026 eliminó el handshake de sesión original a favor de peticiones que se autodescriben, pensado para soportar este volumen de tráfico sin degradarse.

Quién lo ha adoptado, y con qué cifras#

La velocidad de adopción de MCP no tiene mucho precedente en infraestructura para IA. Vale la pena mirar los números de cerca, porque explican por qué aprender el protocolo dejó de ser opcional.

El primer indicio es quién lo integró como cliente. ChatGPT, Cursor, Gemini, Microsoft Copilot y Visual Studio Code hablan MCP de forma nativa, según la propia Anthropic. Un servidor construido una vez funciona, sin cambios, en productos de cuatro compañías que compiten entre sí en todo lo demás.

El segundo es quién financia su gobierno. La Agentic AI Foundation, la entidad de la Linux Foundation que ahora aloja MCP, tiene como miembros platino a AWS, Anthropic, Block, Bloomberg, Cloudflare, Google, Microsoft y OpenAI. Que competidores directos financien el mismo estándar es una señal difícil de fingir.

El tercero es el ritmo de descarga: de 97 millones de descargas mensuales en diciembre de 2025 a cerca de 500 millones en julio de 2026. Ambos SDK, además, superan ya los 1.000 millones de descargas acumuladas. Esa curva no es ruido de un proyecto de moda; es la curva de algo que ya se ha vuelto infraestructura de base.

Por qué ganó#

Que un estándar técnico se imponga rara vez depende solo de sus méritos técnicos. En el caso de MCP confluyeron tres factores, y se refuerzan entre sí.

El primero fue resolver un dolor real y universal. Todo el mundo que construía agentes sufría el problema N×M. MCP no inventó una necesidad: respondió a una que ya existía y que crecía con cada agente nuevo en producción.

El segundo fue la neutralidad. Al donar el protocolo a una fundación independiente, en lugar de retenerlo como ventaja propietaria, Anthropic eliminó el principal freno a la adopción: el miedo a atarse a un solo proveedor.

El tercero fue el efecto red. Cada servidor MCP nuevo hace el ecosistema más valioso para todos. Cuando existen servidores para GitHub, Slack, PostgreSQL, Stripe, Figma y Docker, adoptar MCP deja de ser una apuesta y pasa a ser la opción obvia.

Los riesgos que conviene entender#

Adoptar un estándar tan rápido tiene un coste que rara vez aparece en los titulares de adopción. La superficie de ataque crece al mismo ritmo que el ecosistema. Vale la pena tomárselo en serio antes de conectar un agente a un servidor que no has escrito tú.

La investigación de seguridad de Unit 42, de Palo Alto Networks, describe tres vectores concretos. El robo de recursos ocurre cuando un servidor malicioso inyecta instrucciones ocultas que fuerzan al modelo a generar contenido no autorizado, drenando cuota de API sin que nadie lo note.

El secuestro de conversación incrusta instrucciones persistentes en una respuesta, que alteran el comportamiento del asistente en turnos posteriores. Y la invocación encubierta de herramientas dispara acciones sobre el sistema de archivos vía prompt injection, sin consentimiento explícito del usuario.

La raíz del problema, según ese mismo análisis, es que el mecanismo de sampling de MCP “se apoya en un modelo de confianza implícito y carece de controles de seguridad robustos”. La misma mediación por lenguaje natural que hace flexible a MCP es la que un atacante puede explotar.

El propio protocolo ha empezado a endurecerse frente a esto. La especificación de julio de 2026 añadió validación de emisor conforme a RFC 9207. También sustituyó el registro dinámico de clientes por documentos de metadatos verificables, pensados para cerrar parte de esta superficie.

Nada de esto invalida el estándar; lo contextualiza. Cada resultado que un servidor MCP devuelve entra en el contexto del modelo y tiene un coste medible, algo que desarrollamos en tokens y costes con LLMs. La conclusión práctica es simple: instala servidores de fuentes que auditas, no de cualquier repositorio con una estrella en GitHub.

Lo que MCP no es#

Conviene aclarar un malentendido frecuente, porque MCP se agrupa a menudo con cosas que no es. MCP define cómo los agentes se conectan a herramientas. No define cómo los agentes razonan, planifican o ejecutan flujos de trabajo: eso es competencia de los frameworks de orquestación, una capa distinta y complementaria.

Dicho de otro modo: MCP es el protocolo de conexión, no el cerebro ni el orquestador. Un agente completo combina un modelo que razona, un framework de orquestación que estructura la ejecución, y MCP, que da acceso a las herramientas.

Confundir estas capas lleva a comparaciones sin sentido, como enfrentar MCP a un framework de agentes. No compiten entre sí: operan en niveles diferentes del mismo sistema.

Qué significa para ti#

Si construyes cualquier cosa con IA que necesite tocar el mundo real, y casi todo lo interesante lo necesita, MCP es infraestructura que te conviene entender. No porque sea obligatorio hoy, sino porque se ha convertido en el lenguaje común del ecosistema.

Trabajar fuera del estándar significa cargar con integraciones a medida que el resto ya resolvió. Para un developer, esto abre una oportunidad concreta: construir un servidor MCP para una herramienta que usas es relativamente accesible.

Una vez construido, ese servidor funciona con cualquier agente compatible, sin trabajo adicional por tu parte. Lo hacemos paso a paso en cómo construir tu primer servidor MCP.

Esa misma facilidad de construcción es la razón por la que la sección anterior sobre riesgos importa. Cualquiera puede publicar un servidor MCP, así que vetarlo antes de conectarlo a tus credenciales es responsabilidad tuya, no del protocolo.

Por ahora, la idea que merece la pena retener es esta: MCP se ha vuelto el estándar porque resolvió un problema real, lo hizo de forma neutral y desató un efecto red que se retroalimenta. Las cifras de 2026 solo lo confirman. Entenderlo no es seguir una moda: es entender la fontanería, y sus riesgos, sobre la que se está construyendo la próxima generación de software con IA.