Tool shadowing: cuando una herramienta maliciosa se hace pasar por otra de confianza

Cuando le das a un agente de IA acceso a varios servidores MCP a la vez, el agente ve una lista combinada de herramientas. Decide cuál usar por su nombre y su descripción — nada más. Si dos herramientas se llaman casi igual, o exactamente igual, el agente no tiene una forma fiable de saber cuál es la de confianza y cuál no. Eso es tool shadowing: una herramienta maliciosa se hace pasar por una legítima ocupando —o casi ocupando— su nombre.

Dos formas de conseguirlo

• Homóglifos. Una letra que se ve idéntica mientras se lee, pero es un carácter Unicode completamente distinto. reаd_file con una "а" cirílica en vez de la latina es, letra por letra, un nombre distinto de read_file — pero a simple vista, y para muchos sistemas, son indistinguibles.
• Casi-typos. Un nombre a una o dos letras de distancia de uno extremadamente común (read_filee, execute_comand) — la misma idea que el typosquatting de dominios (gogle.com), aplicada al nombre de una herramienta en vez de a una URL.

Ninguna de las dos técnicas necesita ningún fallo de software. Le basta al atacante con registrar un servidor MCP con el nombre adecuado y esperar a que un agente lo tenga disponible junto al original.

Por qué es peligroso específicamente para agentes de IA

Un humano que ve dos entradas casi idénticas en un menú suele fijarse solo si algo le llama la atención. Un agente de IA no "desconfía" por instinto — simplemente elige la herramienta cuyo nombre encaja mejor con lo que necesita hacer, y una herramienta con nombre read_filee encaja igual de bien que la real cuando el agente busca "algo que lea un archivo". La superficie de confianza no es visual, es semántica — y ahí es exactamente donde este ataque funciona mejor.

Cómo lo detectamos

Comparamos el nombre de cada herramienta del catálogo contra una lista de nombres extremadamente habituales (leer/escribir un archivo, ejecutar un comando, enviar un correo, mover fondos...). Normalizamos los homóglifos más comunes a su letra latina equivalente y medimos la distancia de edición contra cada nombre de la lista — si el resultado coincide, o está a una o dos letras, pero el nombre real no es exactamente el de confianza, lo marcamos como posible suplantación.

Con esta comprobación, ya activa en todo el catálogo, encontramos 29 herramientas (en 24 servidores) con un nombre sospechosamente parecido a uno de confianza. No todas son necesariamente maliciosas —a veces es una coincidencia genuina de nombre entre proyectos sin relación— pero todas merecen una segunda mirada antes de confiar en ellas a ciegas.

El mecanismo completo, con el resto de categorías que vigilamos, está en Cómo funciona Centinela. Y puedes ver el estado en vivo de cualquier servidor del catálogo en el Tablón.