MCP.

En la práctica

Anthropic lo publicó en noviembre de 2024 y en 2025 lo adoptaron OpenAI, Google y Microsoft. En diciembre de 2025 lo cedió a la Agentic AI Foundation, dentro de la Linux Foundation, que fundó con Block y OpenAI. Hoy es la forma habitual de conectar un asistente o un agente con el CRM, el drive, la base de datos o el gestor de tareas: cada sistema se expone una vez como servidor MCP y le sirve a cualquier cliente compatible, sea Claude, ChatGPT, Copilot o un agente propio.

Sin sesión desde julio de 2026

La especificación del 28 de julio de 2026 cambió cómo funciona por dentro: cada petición lleva todo lo necesario y el protocolo ya no guarda una sesión abierta. A eso se refiere quien habla de stateless MCP. No quiere decir que el asistente olvide nada. Quiere decir que los servidores son más baratos de mantener y escalar, y que una pasarela puede decidir por herramienta qué se permite: este agente puede leer, pero no enviar. Es un cambio incompatible con lo anterior, así que conviene preguntar a cada proveedor qué versión habla y hasta cuándo soporta la vieja.

Por qué te importa

MCP solo ordena la fontanería: el modelo sabe lo mismo que antes. Y cada servidor que conectas es una puerta. En 2025 se documentaron instrucciones escondidas en la descripción de herramientas que el modelo obedecía, y un paquete falso que copiaba a un tercero cada correo que enviaba el agente. La propia especificación recomienda que siempre haya una persona capaz de denegar una acción.

Los límites

Simon Willison resume el riesgo en tres cosas juntas: acceso a datos privados, contenido de terceros y capacidad de enviar hacia fuera. Si un agente con conectores tiene las tres, se le pueden robar datos. Por eso, ante cualquier conector, lo que hay que preguntar es quién escribió el servidor, qué permisos pide y quién aprueba lo que escribe o envía.