Proteger agentes de IA con MonosignLa pasarelaEl MCP Gateway
Qué ha cambiado
Cada actualización del contenido se versiona. Seleccione una versión para compararla con la anterior.
Versión 6 → 7
Corrección menorTerminología: los nombres de módulos del producto como Vault, Gateway, Audit y Discovery se mantienen ahora en inglés en todos los idiomas, tal como aparecen en el producto.
3 lecciones actualizadas1 comprobación actualizadaobjetivos de aprendizajeTítulo o descripción modificadosTraducción actualizada (TR, ES)
Correcciones menores como erratas o traducciones. No se notifica a los estudiantes.
Descripción
Dé a cada agente de IA una identidad con propietario, controle la delegación con tokens on-behalf-of, gobierne las llamadas a herramientas MCP a través de la pasareladel Gateway y mantenga a las personas en el circuito. Redactado para la versión v2026.10.
El **Monosign MCP Gateway** (pasarela MCP) se sitúa entre los agentes y los servidores MCP de origen, de modo que cada llamada a una herramienta pasa una comprobación de identidad. Dos partes trabajan juntas: la página `MCP Gateway` de Management es el catálogo, y un servicio de pasarelaGateway desplegado por separado responde a `POST /mcp/{name}`.
::diagram aia-mcp-gateway-call
### Catálogo
Añada un servidor con su `Upstream URL` y su `Upstream auth`: `None`, `Bearer token`, `Custom header` o `Caller token (passthrough)`. Un servidor nuevo empieza como `Draft`.
**Credenciales**: la credencial del servidor de origen se cifra en reposo y solo se muestra enmascarada, de modo que los clientes no la guardan. Con `Caller token (passthrough)`, lo que llega al origen es el token del propio llamante.
`Discover tools` enumera las herramientas del servidor. Las herramientas nuevas están **desactivadas**: las permite una a una o todas a la vez. Por herramienta también puede definir un `Required permission` y marcarla como destructiva. Un servidor passthrough no se puede explorar desde la página, porque sus herramientas se registran desde el primer `tools/list` que pasa por la pasarelael Gateway.
### Qué ocurre en una llamada
Los llamantes se autentican con encabezados de clave de agente (`MonoSign-AppId` / `MonoSign-AppKey`) o un token bearer de Monosign, y se aplica el modo de actuación del agente.
- `tools/list` devuelve solo las herramientas permitidas.
- `tools/call` se comprueba frente a la lista de permitidas, el permiso requerido, el acceso condicional del agente, su presupuesto y la aprobación de acciones destructivas.
- Cada llamada escribe un registro de auditoría `MCP_TOOL_CALL`, permitido o `DENIED (...)`.
### Qué no hace la pasarelael Gateway en v2026.10
Sea preciso con los clientes:
- No limita un servidor a agentes concretos: cualquier agente activo puede llegar a él, así que limitan las listas de herramientas permitidas y los permisos.
- Gobierna las **herramientas**. No filtra `resources`, `prompts` ni otros métodos: pasan.
- **No inspecciona el contenido**: no hay DLP, filtrado de argumentos ni inspección de resultados de herramientas.
- Llega a los orígenes solo por HTTP, no por stdio.
- No detecta una definición de herramienta reescrita.
- `Discover tools` envía la credencial configurada a la `Upstream URL`, así que compruebe bien la URL antes.
> Consejo: Permita el menor conjunto de herramientas que necesite cada servidor y marque como destructivo todo lo que cambie datos. Una herramienta marcada espera a una persona; una sin marcar, no.
### La persona en el circuito
Las acciones sensibles de los agentes esperan a una persona. Una solicitud surge de dos formas: por una llamada a una herramienta marcada como destructiva en la el MCP Gateway (pasarela MCP), o por un agente mediante `POST v1.5/ai-agents/{id}/approvals`.
::diagram aia-approval-states
En v2026.10, quien aprueba es el propietario de gobierno del agente. Recibe el aviso por la campana de la consola, push y correo, y puede decidir en Management (`AI Agents` → `Approvals`), desde el enlace del correo o desde la aplicación Authenticator.
Una solicitud está `Pending` y después `Approved`, `Denied` o `Expired`. **El silencio nunca concede acceso**: una denegación o una caducidad bloquea la llamada. Algunos detalles importan al planificar:
- **Los plazos son cortos.** Una solicitud de API dura 300 segundos por defecto (3600 como máximo). Una llamada a una herramienta destructiva espera hasta unos dos minutos, así que quien aprueba debe estar localizable.
- **Un reintento del cliente crea una segunda solicitud.** Avise a los desarrolladores del agente.
- **Una aprobación responde a una llamada.** No es un permiso permanente.
- **Nadie más puede decidir.** Solo la persona consultada puede responder, y una decisión no se puede deshacer.
### Confianza de agentes
La puntuación de seguridad incluye una dimensión `agent-trust` para identidades no humanas, calculada periódicamente y con su propia ventana de inactividad (30 días por defecto).
La detección de amenazas tiene filas específicas para agentes: `Agent token abuse (NHI)`, `Agent budget abuse / denial-of-wallet (NHI)` y `Shadow agent (NHI)`. Los incidentes de agentes se pueden contener con la respuesta `Kill switch`.
> Consejo: Revise con regularidad los agentes inactivos. Un agente sin uso con credenciales activas es puro riesgo. Configure `Agent.InactivitySuspendDays` para que el producto lo haga por usted.
Comprobación de conocimientos: seguridad de agentes de IAComprobación actualizada