MCP: Microsoft y Salesforce ya conectan agentes de IA

¿Qué es el Model Context Protocol y por qué importa ahora?

Un agente de IA que razona bien pero no puede leer tu CRM, tu ERP o tu base de conocimiento interna trabaja a ciegas. El Model Context Protocol (MCP) es el estándar abierto que resuelve esa conexión: define cómo un agente solicita datos y ejecuta acciones sobre sistemas externos de forma consistente, segura y predecible.

El problema que ataca es de aritmética simple. Si cada agente necesita un conector propio para cada sistema, diez sistemas y tres agentes se traducen en decenas de integraciones que hay que mantener por separado. MCP invierte el modelo: los sistemas exponen sus datos a través de «servidores MCP» y cualquier agente habla el mismo protocolo.

No es una idea que quedó en un paper. Anthropic creó el protocolo y OpenAI lo adoptó en marzo de 2025, según documentó i-scoop. Ese respaldo cruzado entre dos competidores directos es lo que convirtió a MCP en el idioma común del ecosistema de agentes.

Leíste lo que hace la IA. ¿Y en tu negocio?

Un agente de IA puede quedarse con parte de tu día: ordenar lo pendiente y pedirte el OK antes de actuar. El Kit «tu mano derecha con IA» trae un video de 11 minutos y una ficha para dejar al tuyo trabajando. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

Microsoft, Salesforce y Apple: quién ya adoptó MCP

La adopción por parte de los grandes proveedores de software empresarial es lo que vuelve a MCP un criterio de evaluación, no un detalle técnico.

Microsoft lo puso como eje central de Copilot Studio y de su estrategia de agentes en Dynamics 365, con servidores MCP disponibles para sus principales nubes.
Salesforce lo incorpora en Agentforce, pero su apuesta más ambiciosa es Slack. Según TechTarget, la compañía está usando MCP para convertir a Slackbot en un «súper agente» que orquesta agentes de Anthropic, OpenAI y Vercel dentro de Slack. La idea viene de lejos: Marc Benioff la repite desde antes de que se cerrara la compra de Slack por US$27.700M en 2020.
Zoho, Freshworks y HubSpot tienen integraciones MCP en marcha o anunciadas.
Apple anunció soporte para MCP en Pages, Keynote y Numbers a través de Apple Creator Studio, según reportó Fox News. El servicio cuesta US$12,99 al mes o US$129 al año y se lanza en noviembre con soporte inicial solo en inglés de EE. UU.

En agosto, Salesforce dio un paso más con Headless Data 360 para MCP, que expone más de 200 APIs existentes como endpoints programables para agentes, según SiliconANGLE. Traducción: el agente deja de necesitar que un humano le diga el nombre exacto del campo y pasa a descubrir la estructura de datos por sí mismo.

¿Cómo funciona MCP en la práctica?

La arquitectura tiene tres piezas y conviene tenerlas claras antes de sentarte a hablar con cualquier proveedor:

Cliente MCP: el agente que necesita contexto. Puede ser un asistente conversacional, un agente de ventas o un sistema de análisis.
Servidor MCP: el sistema que expone sus datos o funciones. Un CRM, un ERP, una base de conocimiento, un repositorio de documentos.
Protocolo: el formato de las solicitudes y respuestas, incluyendo cómo se gestionan permisos, qué datos se comparten y en qué condiciones se puede actuar sobre ellos.

El resultado práctico: un agente consulta el historial de una cuenta en el servidor MCP del CRM, los incidentes abiertos en el del sistema de tickets y la solución más frecuente en el de la base de conocimiento, todo dentro del mismo flujo y sin una integración hecha a medida para esa combinación específica.

¿MCP reemplaza a las APIs tradicionales?

No. MCP es una capa de estandarización sobre las APIs que ya existen. La diferencia real aparece en el costo de mantenimiento:

Diseño: una integración tradicional se construye para un par específico (agente por sistema). MCP es reutilizable para cualquier par.
Mantenimiento: cada cambio en el sistema obliga a actualizar la integración tradicional. Con MCP, el protocolo absorbe buena parte de ese cambio.
Seguridad: en el modelo tradicional se define caso por caso; en MCP se gestiona a nivel de protocolo con permisos estandarizados.
Escalabilidad: sumar un agente o un sistema multiplica el trabajo en el modelo tradicional; en MCP no obliga a rediseñar lo que ya funciona.
Auditabilidad: el protocolo incluye trazabilidad de accesos por diseño, en lugar de depender del logging propio de cada conector.

El punto para un equipo chico: gestionas un protocolo, no veinte conectores con comportamientos distintos.

¿Qué riesgos de seguridad trae MCP?

Esta es la parte que el entusiasmo suele tapar. En octubre, Ars Technica documentó vulnerabilidades que explotan una falla estructural del protocolo: un ataque de prompt injection dirigido no al modelo, sino a un agente interno específico, que después propaga instrucciones maliciosas a otros agentes de la red. El investigador Syed Anas Mohiuddin probó el ataque contra agentes de organizaciones como Google, JP Morgan Chase, Weaviate, Rapid7, la dirección digital interministerial del gobierno francés y el gobierno federal de EE. UU. En los cinco meses previos, Google y otras cuatro organizaciones reconocieron vulnerabilidades de este tipo.

La razón de fondo: los servidores MCP guardan credenciales de cada agente y los agentes confían por defecto en los otros agentes internos. Un exploit que el LLM habría rechazado pasa igual, porque el agente de destino «confía» en el emisor.

A eso se suman tres riesgos de configuración que el estándar no resuelve por sí solo:

Sobreexposición de datos: si el servidor MCP expone más de lo que la tarea necesita, información confidencial queda accesible más allá de lo previsto.
Falta de auditoría: la trazabilidad existe por diseño, pero si nadie activa ni revisa el logging, los problemas pasan semanas sin detectarse.
Servidores de terceros no verificados: el ecosistema creció rápido y no todos los servidores MCP tienen el mismo nivel de seguridad. Verifica procedencia y política de datos antes de conectar.

¿Qué significa esto para tu startup?

Para un equipo pequeño, MCP baja una barrera que antes era prohibitiva: conectar un agente a los sistemas reales de la empresa sin construir y mantener un conector por cada combinación. Eso pesa especialmente en LATAM y España, donde el equipo de IT suele ser de dos o tres personas y no puede sostener veinte integraciones personalizadas.

Pero la estandarización también traslada el riesgo. Si tu agente puede leer el CRM, el ERP y los tickets, un permiso mal puesto no expone un sistema: expone todos.

Tres acciones concretas para empezar esta semana:

Haz el inventario antes de la integración. Lista los sistemas que quieres conectar y verifica con cada proveedor si tiene servidor MCP nativo o en hoja de ruta, y con qué nivel de madurez. No todos los proveedores de software empresarial implementaron el protocolo al mismo ritmo.
Diseña los permisos por agente antes de activar nada. Define qué datos puede leer cada agente y en qué condiciones puede escribir. Aplica el principio de mínimo privilegio desde el día uno, no después del primer incidente.
Asigna un responsable de auditoría. Alguien tiene que revisar el logging de accesos de forma periódica. La trazabilidad que ofrece MCP solo vale si alguien la lee.

Un cuarto punto que conviene mirar: la gobernanza del estándar ya salió de manos de un solo proveedor. Anthropic donó MCP a la Agentic AI Foundation (AAIF), una organización de la Linux Foundation que cofundó junto a Block y OpenAI, según TechRepublic. La AAIF arrancó en diciembre de 2025 con tres proyectos —MCP, goose de Block y AGENTS.md de OpenAI— y en octubre sumó cuatro más, entre ellos Agent Skills de Anthropic y Open Responses de OpenAI, según i-scoop. Para un founder, eso significa menos riesgo de quedar atado a la hoja de ruta de una sola empresa.

Conclusión

MCP no es el componente más visible de la ola de agentes empresariales, pero sí uno de los más decisivos: define si tus agentes trabajan con datos reales y actualizados o con información parcial y desconectada de los sistemas que importan. La adopción de Microsoft, Salesforce y Apple ya lo puso en el centro del stack. La pregunta para tu startup no es si vas a usar MCP, sino si vas a diseñar los permisos y la auditoría antes o después del primer susto.