COPEX: cómo medir la seguridad de los modelos en MCP
COPEX evalúa cómo responden nueve modelos a 25 tipos de ataques en sistemas MCP y analiza el efecto de algunas defensas.
👁 118 lecturas
El artículo procede de arXiv y ha sido aceptado como póster en el taller NeurIPS 2026 Workshop on Agents in the Wild. Tiene seis autores: Nahom Birhan, Mehrdad Rostamzadeh, Sidhant Narula, Mahmoud Nazzal, Mohammad Ghasemigol y Daniel Takabi.
Qué es MCP y cuál es el problema
Model Context Protocol (MCP) es un estándar que permite a los modelos de lenguaje utilizar herramientas externas: ejecutar funciones, obtener datos y comunicarse con servidores. En este tipo de sistema, el modelo actúa como cliente MCP y recibe instrucciones del usuario, esquemas de las herramientas disponibles, resultados de sus operaciones y mensajes del protocolo. Cada uno de estos canales puede convertirse en una vía para intentar influir de forma no deseada en el comportamiento del modelo.
Los autores señalan un problema metodológico concreto: las pruebas de seguridad de agentes de IA realizadas hasta ahora evalúan el sistema desplegado en su conjunto, no el modelo por sí solo. Por eso es difícil distinguir si el modelo es vulnerable a un ataque o si la infraestructura que lo rodea -sus mecanismos de protección, la orquestación o sus capacidades generales para realizar tareas- lo protege o lo expone. COPEX pretende resolverlo.
Qué es COPEX y cómo funciona
COPEX (COntext Provider EXploitation) es un benchmark diseñado para aislar el modelo como cliente MCP. La infraestructura que rodea al agente se mantiene constante y solo cambia el modelo evaluado. Así, los resultados se refieren a la vulnerabilidad de cada modelo, no a la del sistema completo.
El benchmark incluye 25 tipos de ataques, distribuidos en 125 escenarios. Los ataques se agrupan según cuatro superficies de entrada:
- modelo y agente,
- cliente,
- servidor y herramienta,
- transporte.
Las pruebas se realizaron con nueve modelos y sumaron 3375 intentos.
Resultados: las cifras
La tasa media de éxito de los ataques fue del 64,4%. Según la superficie de entrada, las medias oscilaron entre el 58,3% y el 71,4%. Los autores advierten que algunos ataques dirigidos al cliente y al transporte tienen éxito, en parte, fuera de la observación o del control del propio modelo. Por tanto, hay que distinguir entre la vulnerabilidad del modelo y la exposición del sistema completo.
El estudio también evaluó una defensa. La combinación de análisis de las entradas y del contexto redujo la tasa media de éxito de los ataques en un 49,6%. Sin embargo, este resultado corresponde únicamente a un subconjunto de ocho ataques y se compara con una variante sin ninguna protección. El documento no explica cómo funciona esa defensa ni qué ataques concretos formaban parte del subconjunto evaluado.
Qué información no incluye el documento
El resumen no indica los nombres de los nueve modelos evaluados. Por tanto, no se sabe qué sistemas concretos se probaron ni qué diferencias hubo entre ellos. Tampoco detalla los 25 tipos de ataques ni la metodología del análisis utilizado como defensa. El benchmark está disponible públicamente en la dirección indicada en el artículo, pero su contenido queda fuera del texto facilitado.
Google · Tus fuentesBrilla más alto en tu Google - con un solo clicAñadir a fuentes preferidas →Qué implican los resultados
Una tasa de éxito de los ataques del 64,4% sin protecciones es una cifra difícil de pasar por alto: indica que, de media, un modelo que actúa como cliente MCP puede ser manipulado en la mayoría de los intentos. También importa la distinción que plantean los autores: algunos ataques funcionan no porque el modelo sea débil, sino porque quedan fuera de su alcance. Esto debería cambiar la forma de pensar sobre quién es responsable de la seguridad de estos sistemas: el modelo no basta como única línea de defensa. El benchmark ofrece una herramienta para comparar modelos con más precisión, aunque sin conocer la lista de los modelos probados resulta difícil valorar hasta qué punto los resultados permiten diferenciarlos en la práctica.
Fuente: arXiv cs.AI: COPEX: Benchmarking LLM Robustness to Adversarial Context Across Model Context Protocol (MCP) Layers (documento del 20 de octubre de 2026). Este análisis se basa en el texto completo del documento, no en informaciones de otros medios.
More on this from FULGOR
herramientas de ia·Muse Spark Open: hardware, licencia y mi test del modelo 816BMeta publica los pesos de Muse Spark Open, un modelo de 816B con requisitos extremos de memoria y licencia propia.