Microsoft quiere facilitar la automatización con IA de Windows 11. Recuerda al gran error de seguridad que ya cometió con Office

Microsoft está decidida a transformar la experiencia del usuario en Windows 11 recurriendo a la inteligencia artificial. En su conferencia Build, la compañía anunció la integración nativa en el mismo del MCP (Model Context Protocol), abriendo así la puerta a una nueva era de automatización inteligente de las funciones y aplicaciones de su sistema operativo.

Pero, al igual que ocurrió hace tiempo con ActiveX y OLE Automation en Microsoft Office e Internet Explorer, esta ambiciosa iniciativa también podría convertirse en un problema de seguridad de enormes dimensiones.

¿Qué es MCP y qué propone Microsoft?

El Model Context Protocol (MCP) fue presentado por la empresa Anthropic hace apenas seis meses como un protocolo estandarizado para que las aplicaciones con funciones de IA puedan acceder a datos de distintos sistemas. Sin embargo, su evolución (como su éxito) ha sido rápida: ahora se perfila como la base para una automatización más generalizada, no solo dentro de una aplicación, sino entre múltiples servicios.

MCP permite que los servidores —locales o remotos— informen sobre sus capacidades y reciban comandos para ejecutar tareas. Con base en eso, el objetivo de Microsoft es ambicioso: que un solo comando, en lenguaje natural, pueda iniciar una cadena de acciones que abarquen desde la recopilación de datos hasta la creación de gráficos en Excel y el envío automático por correo electrónico.

Windows será un 'sistema operativo para agentes'

Con la inclusión de MCP en Windows, Microsoft quiere convertir el sistema operativo en lo que llama un "agentic OS": un entorno donde los agentes de IA pueden ejecutar acciones complejas en nombre del usuario. Para hacerlo posible, se introducirán varias novedades:

1. Registro local de MCP: permitirá descubrir los servidores MCP instalados.
2. Servidores MCP integrados: expondrán funciones del sistema como el acceso al sistema de archivos, manejo de ventanas y el Subsistema de Windows para Linux (WSL).
3. 'App Actions': una nueva API que habilita a las aplicaciones de terceros a exponer sus propias acciones como servidores MCP, facilitando la automatización entre apps.

Ya se han anunciado colaboraciones con empresas como Figma, Perplexity, Zoom, Todoist y Spark Mail, lo que evidencia el interés de la industria por esta infraestructura.

Automatización sí, pero ¿a qué precio?

A pesar del potencial de MCP, los riesgos de seguridad son considerables. El propio David Weston, vicepresidente de seguridad empresarial y del sistema operativo en Microsoft, advirtió sobre siete vectores de ataque que amenazan esta arquitectura:

• 'Cross-prompt injection': comandos maliciosos que modifican las instrucciones del agente.
• Falta de autenticación robusta: estándares actuales inconsistentes e inmaduros.
• Filtración de credenciales.
• 'Tool poisoning': uso de servidores MCP no verificados que podrían estar comprometidos.
• Ausencia de contención entre procesos.
• Escasa revisión de seguridad en muchos servidores MCP.
• Riesgos en la cadena de suministro, por la inclusión de servidores maliciosos.

En Genbeta

Microsoft lanzó una IA capaz de verlo todo en Windows 11, pero fue retirada por seguridad. Este experto no cree que esté lista aún

Estos problemas son las que recuerdan a las vulnerabilidades históricas de ActiveX y OLE Automation en Office, tecnologías que, aunque facilitaron una tímida automatización primigenia, también fueron explotadas por ciberdelincuentes durante años.

¿Cómo planea Microsoft mitigar estos riesgos?

Microsoft asegura que la seguridad es su máxima prioridad. Para ello, ha propuesto una serie de medidas:

1. Proxy intermediario: gestionará todas las interacciones MCP cliente-servidor para aplicar políticas de seguridad, auditoría y consentimiento.
2. Nivel de seguridad base para los servidores MCP: incluirá requisitos como firma de código, pruebas de seguridad en las interfaces y declaración de privilegios necesarios.
3. Aislamiento en tiempo de ejecución y permisos granulares, que limiten las acciones según contexto y origen.

No obstante, muchas de estas medidas no estarán disponibles a tiempo para la 'preview' inicial que se proporcionará en unas semanas a los desarrolladores.

Lecciones del pasado: ¿se repetirá la historia?

Para entender los riesgos del Model Context Protocol (MCP), basta con echar la vista atrás a las tecnologías de automatización que Microsoft ha impulsado en el pasado. Dos ejemplos especialmente ilustrativos son ActiveX y OLE Automation, pilares fundamentales para la automatización en Office y otros productos de Microsoft durante décadas, pero también notorias por su historial de vulnerabilidades.

ActiveX: el caballo de Troya en Internet Explorer

ActiveX, introducido en los años 90 como una forma de ejecutar componentes COM dentro del navegador Internet Explorer, prometía enriquecer la experiencia web con formularios interactivos, reproductores multimedia, herramientas de edición, etcétera. En teoría, permitía a las páginas web ofrecer funcionalidades similares a las de una aplicación de escritorio... en la práctica, ActiveX fue un desastre de seguridad.

Debido a su alto nivel de permisos y escasa contención, los controles ActiveX podían ejecutar código arbitrario en el sistema del usuario. Esto permitió a atacantes distribuir malware simplemente con que el usuario visitara una página web: así, se convirtió en un vector común de infecciones por troyanos, keyloggers y spyware. Aunque Microsoft implementó más tarde medidas como el 'killbit' o el uso de zonas de seguridad, el daño a la reputación de esta tecnología ya estaba hecho.

OLE Automation: el truco detrás de los macros maliciosos

Por otro lado, OLE Automation permitió que algunas aplicaciones de Office, como Word y Excel, interactuaran con otras aplicaciones y sistemas a través de scripts y macros escritos en VBA (Visual Basic for Applications). Esta capacidad convirtió a Office en una poderosa herramienta de automatización empresarial... y también en una de las puertas de entrada favoritas para ataques basados en macros maliciosos.

En Genbeta

Claude 4, la nueva IA de Anthropic, amenazó a sus ingenieros con difundir su información privada si se atrevían a desconectarlo

Durante años, los cibercriminales aprovecharon las macros de Excel y Word para ejecutar cargas maliciosas, descargar ransomware o establecer puertas traseras en los sistemas. Incluso hoy, a pesar de restricciones recientes (como la desactivación por defecto de macros descargadas de Internet), OLE y VBA siguen siendo un vector relevante de ataque, especialmente en entornos corporativos donde estas funciones aún se utilizan.

El paralelismo con MCP

MCP comparte con estas tecnologías un principio fundamental: permitir que diferentes componentes —sistemas, aplicaciones y ahora agentes de IA— se comuniquen entre sí para automatizar tareas. Pero lo hace desde un nivel más alto de abstracción y, sobre todo, con una nueva capa de inteligencia artificial.

Este salto conceptual añade utilidad, pero también amplifica los riesgos. Un agente de IA que tenga acceso a múltiples servidores MCP podría, por ejemplo, consultar datos privados, modificar archivos, lanzar aplicaciones, o enviar correos... con una sola orden maliciosa si no se han establecido límites claros.

Además, como ocurre con ActiveX y OLE, el éxito de MCP dependerá en gran medida de cómo se regulen los servidores de terceros. Sin una verificación estricta de estos componentes —algo que Microsoft ha dicho que planea hacer... en un futuro—, MCP podría abrir la puerta a un nuevo tipo de ataque: uno orquestado por agentes conversacionales.

¿Será diferente esta vez? La historia demuestra que cuando la automatización es demasiado poderosa y accesible sin suficientes controles, los atacantes no tardan en explotar sus debilidades. Si bien Microsoft ha mostrado más conciencia de estos riesgos desde el principio con MCP, aún queda por ver cómo se implementarán sus promesas de seguridad en entornos reales.

Imagen | Marcos Merino mediante IA

En Genbeta | Excel bloqueó las macros para evitar la entrada de malware, pero la alternativa que nos ofrece también es cada vez menos segura 

-
La noticia Microsoft quiere facilitar la automatización con IA de Windows 11. Recuerda al gran error de seguridad que ya cometió con Office fue publicada originalmente en Genbeta por Marcos Merino .