Seguridad y confianza entre sitio y agente|INEMA.CLUB-PRO

Formación WebMCP · curso 4 de 6 · 8 clases

Seguridad y confianza entre tu sitio y los agentes

Prompt injection no tiene solución, y los propios proveedores lo dicen. Lo que sí se puede hacer es decidir qué ve el agente, qué puede hacer sin ti y cómo tu servidor rechaza lo que no es suyo. Ocho clases, cada una con un ataque corriendo en tu máquina y el control que lo frena.

Empezar por la clase 1 Ver el área de la formación
Seguridad y confianza entre sitio y agente: monitor oscuro con un formulario y un candado, cable conectado al lado.
  • 8clases cortas
  • 7casos de exposición medidos en Chromium
  • 6ataques al servidor MCP en el kit
  • 0claves de API y costo

Las clases

Cada clase termina en un comando que ejecutas y en una salida que coincide. El kit está en el propio repositorio del curso.

  1. Clase 1 · 15 minPrompt injection no tiene solución: lo que dicen Anthropic y OpenAINingún proveedor promete que el agente resista la prompt injection. Anthropic lo dijo con un número el 24 de noviembre de 2025. En esta clase ves los tres caminos de ataque que describe la spec de WebMCP y compruebas, con un filtro de palabras, por qué bloquear texto no lo resuelve.
  2. Clase 2 · 18 minUn dato de la página nunca es instrucción: untrustedContentHint y spotlightingReseña, comentario, post de foro: texto que escribió un visitante y que tu tool devuelve al agente. La spec de WebMCP tiene una anotación para avisar de eso, untrustedContentHint, y deja el tratamiento en manos del cliente. En esta clase encuentras esas tools con un canario y marcas cada una.
  3. Clase 3 · 18 minUna acción con consecuencias pide a una persona: confirmación y consequentialHintReservar, cancelar, pagar, borrar. El agente puede elegir la tool equivocada, entender mal la descripción u obedecer a un texto plantado. La spec de WebMCP responde con consequentialHint, para que el cliente exija confirmación. En esta clase pones la anotación y la confirmación del propio sitio, y compruebas que rechazar no cambia nada.
  4. Clase 4 · 18 minQuién ve la tool: mismo origin, exposedTo, iframes y Permissions-PolicyPor defecto, solo la propia página y las del mismo origin ven la tool. Un iframe de otro origin solo aparece para la página superior con tres consentimientos, y un encabezado lo apaga todo. En esta clase mides los siete casos en Chromium y pones Permissions-Policy: tools=() en las páginas que no necesitan WebMCP.
  5. Clase 5 · 20 minServidor MCP seguro: audiencia, scope mínimo, handle ligado al usuario y secreto fuera del repoEl OAuth del servidor lo armaste en el curso 1. Aquí está el otro lado: seis ataques de la lista de seguridad de MCP (revisión 2026-07-28) contra el mismo servidor, escrito de dos formas. Ves qué bloquea el SDK oficial por sí solo y qué solo bloquea si lo configuras.
  6. Clase 6 · 18 minIdentificar quién llega: Web Bot Auth y signed agents (borrador del IETF)User-Agent lo puede escribir cualquiera. Web Bot Auth es la propuesta del IETF para que el bot firme cada solicitud con una clave publicada en una URL suya. Todavía es un borrador (-00, septiembre de 2026). En esta clase compruebas una firma contra el vector del draft y ves en un servidor local qué prueba y qué no prueba.
  7. Clase 7 · 20 minModelado de amenazas de una toolEl curso organiza las amenazas de la §6.3 de la spec de WebMCP en siete categorías (los tres vectores de la §6.3.1 y las secciones 6.3.2 a 6.3.5), y la spec admite que no hay cómo verificar si la tool hace lo que dice. En esta clase pasas el catálogo por un linter que encuentra lo obvio y completas la ficha que cubre el resto.
  8. Clase 8 · 20 minAuditoría de seguridad de tu sitio y servidorSeis verificaciones, una por clase, en una sola ejecución y con informe fechado. Ejecutas la auditoría en el kit, plantas un secreto para ver cómo se detecta la rotura y sales con el plan de revisión: la spec cambia, las dependencias cambian, y la auditoría se ejecuta de nuevo.

Para quién es

  1. 1Quien ya hizo los cursos 1 a 3 de la formación (servidor MCP, WebMCP en la página, agentes de navegador) o ya tiene tools expuestas a agentes.
  2. 2Dev web o responsable técnico de un sitio que va a dejar que un agente actúe en nombre del visitante y quiere saber dónde eso sale mal.
  3. 3Quien ejecuta un servidor MCP por HTTP y quiere revisar audiencia, scope y secreto antes de abrirlo hacia afuera.

Qué vas a saber hacer

  1. 1Marcar texto de terceros con untrustedContentHint y probar con un canario que ninguna tool se escapó.
  2. 2Poner confirmación con objetivo y efecto en toda acción con consecuencias y probar que rechazar no cambia nada.
  3. 3Medir quién ve cada tool (iframe, exposedTo, fromOrigins) y desactivar WebMCP con Permissions-Policy.
  4. 4Ejecutar 6 ataques contra un servidor MCP, revisar una firma Web Bot Auth y cerrar con la auditoría de tu sitio.

Dónde encaja este curso en la Formación WebMCP

  1. 1El curso 1 enseña el servidor MCP y OAuth; el curso 2, la API WebMCP en la página; el curso 3, el agente que usa el sitio. Aquí está el lado de la amenaza de los tres.
  2. 2El curso 5 (experto) junta todo en producción, con observabilidad y gobernanza.
  3. 3Tríada letal, inyección contra un agente y sandbox del loop quedan en la Formación LOOP-R Engenharia (enlace en las clases 1 y 8).