Un canal lateral que nadie diseñó
Cuando un agente de IA usa herramientas externas mediante un protocolo como el Model Context Protocol, deja un rastro: qué herramienta llamó, con qué argumentos y qué devolvió. Un artículo publicado en arXiv el 30 de octubre se pregunta qué podría averiguar un observador sobre el usuario a partir de ese rastro, sin ver nunca la conversación.
La respuesta es: más que el azar, de forma consistente. Los autores construyeron PrivacyTrace, un banco de pruebas con 1.000 perfiles de usuario sintéticos y 4.000 trayectorias de agente en cuatro dominios, generadas con herramientas MCP reales de 25 servidores. Después pusieron a cuatro modelos de lenguaje habituales a inferir atributos del usuario a partir de los rastros.
Las cifras
Entre esos atacantes, inferir el perfil de un usuario a partir de rastros de llamadas a herramientas válidas según el protocolo funcionó el 26,25% de las veces. La comparación que dan los autores es adivinar solo a partir de probabilidades previas —lo que se obtendría apostando por tasas base sin ningún rastro—, que acertó el 17,97% de las veces.
Son ocho puntos de ventaja a partir de datos que ninguna parte del sistema trata como sensibles. Las llamadas a herramientas no son transcripciones; son la fontanería, y se registran, se enrutan y se observan de forma rutinaria por infraestructura a la que nunca se daría acceso a los mensajes del usuario.
Dónde está la señal
El artículo localiza la fuga con precisión. Los argumentos de las herramientas y los resultados devueltos cargan con la mayor parte de la evidencia: los parámetros que pasa un agente y lo que la herramienta devuelve. Los nombres de las herramientas por sí solos revelan menos que lo que circula por ellas.
El segundo hallazgo trata de la acumulación. Enlazar rastros entre sesiones amplifica todavía más el riesgo de perfilado. Una sola sesión es una señal débil; el mismo usuario observado repetidamente, no.
Lo que el diseño resuelve y lo que no
Los perfiles son sintéticos y las trayectorias están generadas, que es lo que permite una medición controlada y también lo que la limita. Un 26,25% de éxito en un banco de pruebas construido demuestra que el canal transporta señal, no estima la exposición real. Los atacantes son modelos estándar y no un adversario motivado con conocimiento del dominio, lo que empuja en sentido contrario.
Los autores han publicado código y datos, que es lo que hace el resultado comprobable y no solo citable.
Por qué aparece ahora
MCP se ha convertido en la vía por defecto para que los agentes alcancen herramientas externas, y el patrón de despliegue que lo acompaña pone el tráfico de llamadas en lugares a los que las conversaciones del usuario nunca llegan: registros de pasarelas, cadenas de observabilidad, servidores de herramientas de terceros. Cada uno de ellos es un punto de observación que describe el modelo de amenaza del artículo.
Qué vigilar
La pregunta práctica es si alguien trata los registros de llamadas a herramientas como datos personales. Nada en el protocolo lo exige, las políticas de retención de telemetría de agentes están en su mayoría sin escribir, y el hallazgo de que el enlace entre sesiones amplifica la inferencia señala directamente a los registros que más tiempo se conservan. Habrá que mirar si aparecen mecanismos de privacidad en el protocolo y no en la aplicación, y cuál es el primer regulador que pregunta a un proveedor de agentes qué hay en sus rastros.
