Securing Model Context Protocol (MCP) Workflows at Hyperscale

La proliferación de flujos de trabajo basados en agentes de IA y el Model Context Protocol (MCP) introduce nuevos vectores de ataque y desafíos de gobernanza en entornos empresariales. La tesis central es que una adopción segura y escalable de MCP requiere una arquitectura de seguridad unificada que combine la centralización de la infraestructura, controles de acceso robustos, optimización de costos y visibilidad sobre el uso no autorizado.

Este problema no es nuevo; es una manifestación moderna de desafíos clásicos en la computación distribuida y la seguridad de la información, como la gestión de identidades y accesos (IAM), la prevención de pérdida de datos (DLP) y la detección de amenazas. La novedad radica en la interfaz con modelos de lenguaje grandes (LLMs) y la naturaleza autónoma de los agentes, que amplifican la superficie de ataque y la complejidad de la gestión de contexto. La necesidad de una solución ahora se debe a la rápida adopción de la IA generativa en el ámbito empresarial, lo que exige que las organizaciones adapten sus marcos de seguridad existentes a esta nueva realidad.

Arquitectura del Sistema

La arquitectura de seguridad de Cloudflare para MCP se basa en varios componentes interconectados. Los servidores MCP remotos son el pilar, actuando como intermediarios entre los clientes MCP (agentes de IA) y los recursos corporativos. Estos servidores se despliegan en la plataforma de desarrollo de Cloudflare, gestionados por un equipo centralizado para asegurar versiones y fuentes de software validadas, mitigando riesgos de cadena de suministro. La infraestructura de monorepo proporciona plantillas con controles de escritura 'default-deny', registro de auditoría, CI/CD automatizado y gestión de secretos.

Cloudflare Access se integra como proveedor OAuth para la autenticación de usuarios en servidores MCP privados. Verifica SSO, MFA y atributos contextuales (IP, ubicación, certificados de dispositivo), emitiendo tokens de acceso. Los portales de servidor MCP centralizan el descubrimiento, la gobernanza y la aplicación de políticas. Actúan como un punto de entrada único para los clientes MCP, revelando servidores autorizados y aplicando DLP (ej. prevención de PII) y políticas de acceso basadas en roles. La característica 'Code Mode' dentro de los portales MCP optimiza el consumo de tokens al consolidar múltiples definiciones de herramientas en dos funciones proxy ('portal_codemode_search' y 'portal_codemode_execute'), permitiendo a los agentes descubrir y ejecutar herramientas mediante JavaScript en un entorno sandboxed (Dynamic Workers).

AI Gateway se posiciona entre el cliente MCP y el LLM, proporcionando abstracción del proveedor de LLM para evitar el 'vendor lock-in' y aplicar controles de costos (límites de tokens). Cloudflare Gateway se utiliza para la detección de 'Shadow MCP', escaneando el tráfico de red (httpHost, httpRequestURI, inspección de cuerpo basada en DLP con patrones regex para JSON-RPC) para identificar y bloquear el acceso a servidores MCP no autorizados. Finalmente, para servidores MCP públicos, se utiliza Cloudflare WAF con la función 'AI Security for Apps' para proteger contra inyección de prompts, fuga de datos sensibles y clasificación de temas, tratando los MCPs como cualquier otra API web.

// portal_codemode_search
async () => {
const tools = await codemode.tools();
return tools
.filter(t => t.name.includes("jira") || t.name.includes("drive"))
.map(t => ({ name: t.name, params: Object.keys(t.inputSchema.properties || {}) }));
}

// portal_codemode_execute
async () => {
const tickets = await codemode.jira_search_jira_with_jql({
jql: ‘project = BLOG AND status = “In Progress”’,
fields: [“summary”, “description”]
});
const doc = await codemode.google_workspace_drive_get_content({
fileId: “1aBcDeFgHiJk”
});
await codemode.jira_update_jira_ticket({
issueKey: tickets[0].key,
fields: { description: tickets[0].description + “\n\n” + doc.content }
});
return { updated: tickets[0].key };
}

const DLP_REGEX_PATTERNS = [
{
name: "MCP Initialize Method",
regex: '"method"\s{0,5}:\s{0,5}"initialize"',
},
{
name: "MCP Tools Call",
regex: '"method"\s{0,5}:\s{0,5}"tools/call"',
},
{
name: "MCP Tools List",
regex: '"method"\s{0,5}:\s{0,5}"tools/list"',
},
{
name: "MCP Resources Read",
regex: '"method"\s{0,5}:\s{0,5}"resources/read"',
},
{
name: "MCP Resources List",
regex: '"method"\s{0,5}:\s{0,5}"resources/list"',
},
{
name: "MCP Prompts List",
regex: '"method"\s{0,5}:\s{0,5}"prompts/(list|get)"',
},
{
name: "MCP Sampling Create Message",
regex: '"method"\s{0,5}:\s{0,5}"sampling/createMessage"',
},
{
name: "MCP Protocol Version",
regex: '"protocolVersion"\s{0,5}:\s{0,5}"202[4-9]'
},
{
name: "MCP Notifications Initialized",
regex: '"method"\s{0,5}:\s{0,5}"notifications/initialized"',
},
{
name: "MCP Roots List",
regex: '"method"\s{0,5}:\s{0,5}"roots/list"',
},
];

Fundamentos Teóricos

La gestión de la seguridad en sistemas distribuidos, especialmente en lo que respecta a la autenticación y autorización, tiene sus raíces en trabajos fundamentales como el modelo de Bell-LaPadula (1973) para el control de acceso multinivel, y el modelo de Clark-Wilson (1987) que enfatiza la integridad de los datos. La centralización de la gestión de servidores y la aplicación de políticas de seguridad reflejan principios de gobernanza de sistemas que se encuentran en la literatura de seguridad de la información desde hace décadas.

El concepto de 'Code Mode' para la optimización del contexto de los LLMs se relaciona con la eficiencia de la comunicación en sistemas distribuidos y la reducción de la redundancia. Aunque no directamente de un paper clásico, se alinea con principios de 'lazy loading' o 'on-demand discovery' para recursos, un patrón común en la optimización de rendimiento. La detección de 'Shadow IT' o 'Shadow MCP' es una extensión de los desafíos de visibilidad y control en redes empresariales, un problema abordado por tecnologías de Secure Web Gateway (SWG) y Data Loss Prevention (DLP) que han evolucionado a lo largo de los años, con sus fundamentos en la inspección de paquetes y el análisis de tráfico de red.