Seguridad MCP en 2026: las 6 mejores plataformas para agentes empresariales
Comparamos 6 plataformas de seguridad MCP para agentes empresariales por identidad, permisos, auditoría y precio, con una prueba piloto decisiva.
Runlayer es la mejor plataforma general de seguridad MCP para agentes empresariales en 2026, pero el criterio de compra cambió el 22 de agosto: la hoja de ruta de MCP situó la identidad del agente y la autoridad delegada entre sus prioridades. De las seis plataformas preseleccionadas, ninguna de las páginas públicas de producto examinadas menciona los cuatro componentes de la hoja de ruta y ninguna publica un precio en dólares. Por eso, el piloto ganador será el que demuestre identidad, alcance y capacidad de auditoría antes de que Compras firme.
Las mejores plataformas de seguridad MCP de un vistazo
Runlayer ocupa el primer lugar porque reúne un catálogo gestionado, políticas basadas en identidad que llegan hasta la cuenta de agente y la herramienta individual, inspección en tiempo de ejecución y auditoría por solicitud en más de 300 clientes de IA. Proofpoint es la compra más sólida para operaciones de seguridad cuando descubrir implementaciones no autorizadas y analizar transacciones pesa más que facilitar el trabajo de los empleados. Stacklok es la elección indicada cuando Kubernetes y el autoalojamiento son requisitos innegociables.
Todos los datos de precios y capacidades de esta comparativa se verificaron en las páginas activas de los proveedores el 24 de agosto de 2026. «Precio personalizado» no es una forma disimulada de presentar una estimación oculta: significa que el proveedor no publicaba ningún importe en dólares en las páginas de producto o precios revisadas para este análisis.
La regla de decisión es sencilla: el límite de control determina la plataforma. Un catálogo enorme de servidores no compensa que un producto sea incapaz de identificar al actor, acotar las herramientas disponibles, inspeccionar el resultado, revocar el acceso y reconstruir la acción después de un incidente.
El criterio de compra cambió el 22 de agosto de 2026
La próxima compra empresarial de seguridad MCP debe proteger al agente como actor, no solo como una sesión de usuario a la que se añadió automatización. La nueva hoja de ruta de MCP explica que la autorización actual parte de una persona que aprueba el acceso en el navegador, mientras cada vez más solicitantes son agentes en la nube con identidad propia, capaces de actuar sin que el usuario esté presente o de delegar una autoridad más limitada en subagentes.
Model Context Protocol, o MCP, es la interfaz común mediante la cual una aplicación de IA descubre y utiliza herramientas, fuentes de datos y servicios. Esa comodidad permite que el modelo pase de responder preguntas a ejecutar acciones. Para un mismo agente, una herramienta de conocimiento de solo lectura, un conector de CRM con permisos de escritura y una herramienta de despliegue en producción pueden parecer funciones invocables, aunque el alcance del daño empresarial que podrían causar sea radicalmente distinto.
La hoja de ruta identifica cuatro componentes para el próximo modelo de autorización:
- DPoP, siglas de Demonstrating Proof of Possession, vincula un token a una clave criptográfica para dificultar que un token copiado pueda reutilizarse.
- Workload Identity Federation permite que una carga de trabajo en ejecución intercambie su identidad de plataforma por un acceso de corta duración, en lugar de llevar consigo una clave de API pegada en la configuración.
- ID-JAG, un Identity Assertion JWT Authorization Grant, permite que el proveedor de identidad de la empresa participe en el flujo de autorización de MCP.
- El intercambio estándar de tokens transfiere autoridad entre dominios de seguridad sin convertir un único secreto de larga duración en la llave maestra.
La extensión existente de Enterprise-Managed Authorization ya centraliza el acceso de los usuarios en el proveedor de identidad de la empresa. El cliente obtiene un ID-JAG y lo intercambia por un token de acceso MCP, mientras que las políticas de grupo, rol y acceso condicional permanecen bajo control empresarial. Sin embargo, la extensión es opcional, la compatibilidad varía según el cliente y el reto más complejo de la hoja de ruta es una carga de trabajo autónoma que debe demostrar a la vez quién es y qué autoridad limitada se le ha confiado.
Esa diferencia crea la brecha de delegación: una plataforma puede autenticar una cuenta de agente y aun así no demostrar que un subagente tenía permiso para ejecutar una acción concreta, en nombre de un usuario concreto y en ese preciso momento. Las cuentas de servicio compartidas, las autorizaciones OAuth copiadas y los tokens estáticos ocultan esa cadena. Un registro de transacciones puede indicar qué gateway reenvió una llamada sin mostrar el mandato humano, el alcance delegado ni la prueba criptográfica que la sustentaban.
Esto cambia la partida presupuestaria. Un gateway elegido únicamente por sus listas de permitidos y registros de tráfico puede exigir además una capa de identidad, un gestor de secretos, un sandbox y un producto de descubrimiento conforme aumenten las cargas de trabajo autónomas. La propuesta más barata puede convertirse en la arquitectura más cara si mantiene abierta la brecha de delegación.
Hay una salvedad importante: el 24 de agosto de 2026, ninguna de las seis páginas de producto revisadas mencionaba públicamente DPoP, Workload Identity Federation, ID-JAG ni el intercambio estándar de tokens. Esto no demuestra que los proveedores carezcan de planes privados o funciones aún no publicadas. Significa que, hasta que un piloto demuestre el flujo exacto, el comprador debe considerar cada promesa como alineación con la hoja de ruta, no como conformidad con el protocolo.
Cómo elegimos estas plataformas de seguridad para agentes de IA
La selección favorece productos que tratan el control de MCP empresarial como un problema de sistema operativo: inventario, identidad, límites de ejecución, políticas en tiempo de ejecución y evidencias. Un escáner que detecta código peligroso puede ser valioso, igual que un gateway de API genérico puede enrutar tráfico, pero ninguno merece un puesto entre los seis primeros sin mecanismos continuos de aplicación de políticas específicos para MCP.
La metodología parte de la guía de seguridad MCP de la NSA de mayo de 2026 e incorpora la nueva hoja de ruta de identidad:
- Descubrimiento: localizar servidores, clientes, herramientas y versiones, tanto autorizados como no autorizados.
- Identidad y delegación: distinguir entre una persona, una cuenta de agente, una carga de trabajo y un subagente delegado.
- Autorización: aplicar privilegios mínimos al nivel de servidor, herramienta, recurso y acción.
- Control de la cadena de suministro: aprobar proyectos compatibles, registrar su procedencia y corregir servidores vulnerables.
- Límites de ejecución: aislar herramientas en sandboxes y detener el movimiento lateral tras una vulneración.
- Inspección en tiempo de ejecución: validar parámetros y tratar cada resultado encadenado como una entrada no confiable.
- Revocación y respuesta: retirar el acceso con rapidez y bloquear una llamada insegura mientras está en curso.
- Evidencias: registrar parámetros, identidades, decisiones de política y resultados en el SIEM existente, es decir, el sistema de gestión de eventos e información de seguridad.
La NSA también advierte que los proxies específicos para MCP siguen siendo limitados y aún están madurando. Por eso, la comparativa no otorga una calificación perfecta a ningún producto. Un gateway es un punto de control, no un programa de seguridad completo.
La comparación se realizó sobre páginas activas. Durante este análisis se comprobaron páginas de producto, documentación y precios de los proveedores; los cálculos que aparecen más adelante se obtuvieron a partir de paquetes publicados y supuestos de planificación explícitos. Se descartaron productos cuyo material público solo describía escaneo, pruebas, secretos o enrutamiento genérico, sin evidencias suficientes de un plano de control empresarial.
Seis evaluaciones completas y tres exclusiones identificadas mantienen la lista preparada para decidir: cada candidato debe dejar claro su límite operativo, la carga de despliegue, la lógica de precios y la prueba que debe superar. Una tira más larga de logotipos ocultaría esas diferencias.
1. Runlayer: la mejor opción general para desplegar agentes empresariales bajo control
Runlayer es la mejor opción general cuando los empleados y los agentes de producción utilizan muchos clientes de IA, pero Seguridad necesita una única ruta gestionada hacia las herramientas. Su MCP Gateway limita el acceso por usuario, grupo, rol, cuenta de agente, cliente, conector, herramienta, recurso, estado de OAuth, red y condición de ejecución antes de que se procese la llamada. Es la solución pública de este grupo que más se aproxima al nuevo problema de identidad, aunque las páginas de Runlayer todavía no afirman que sea compatible con los futuros mecanismos de DPoP, federación o ID-JAG de la hoja de ruta.
Ideal para: Empresas que estandarizan el acceso MCP entre los equipos de ingeniería, seguridad, TI, operaciones y negocio.
Característica destacada: Un único catálogo y plano de políticas para más de 300 clientes de IA, con datos del actor, cliente, conector, herramienta, resultado de la política, metadatos de seguridad y resultado final disponibles para revisión.
Precio: Precio personalizado; las páginas de producto verificadas no publican ningún precio en dólares ni tabla de planes.
Prueba gratuita: No se anuncia una prueba de autoservicio; la vía pública es «Book a Demo».
- Las políticas pueden dirigirse a cuentas de agente y herramientas individuales, no solo a usuarios o servidores completos.
- El descubrimiento de recursos no autorizados abarca agentes, MCP, skills, plugins y configuraciones de clientes sin gestionar.
- El catálogo parte de más de 18,000 MCP y puede incorporar servidores internos.
- Los empleados conservan clientes como Claude Code, ChatGPT, Cursor, Codex, GitHub Copilot y Windsurf.
- Las comprobaciones por solicitud en tiempo de ejecución y la auditoría hacen que el despliegue y la investigación de incidentes utilicen el mismo punto de control.
- Sin un precio público, resulta imposible comparar presupuestos en una primera revisión.
- Las páginas públicas no documentan los estándares de identidad de cargas de trabajo y delegación citados en la hoja de ruta.
- Una plataforma amplia de habilitación puede ser más infraestructura de la necesaria para una sola aplicación.
- Un gateway solo ve el tráfico que pasa por él, por lo que aún deben demostrarse el descubrimiento y la aplicación de políticas en endpoints.
Runlayer gana porque aborda la gobernanza de MCP como infraestructura para la adopción, no como un dispositivo de seguridad añadido después del despliegue. Un empleado puede solicitar un conector autorizado desde un catálogo; un administrador puede aprobarlo para un grupo, una cuenta de agente, un cliente, una herramienta o un recurso; a continuación, el gateway valida el estado de OAuth y de la sesión, aplica la política, escanea la llamada y registra el resultado. Esta secuencia sirve tanto al equipo de plataforma que habilita agentes como al equipo de seguridad que debe contenerlos, incluso cuando la forma de empaquetar capacidades reutilizables cambia entre Notion Skills y Claude Skills API.
El caso de uso concreto es una empresa SaaS mediana donde los desarrolladores trabajan con Cursor y Claude Code, Operaciones usa ChatGPT y un agente de producción actualiza Salesforce y Jira. La misma dispersión de clientes aparece en los navegadores creados para agentes de IA: la configuración local multiplica los sistemas de políticas y los registros de auditoría. Runlayer proporciona a todos esos clientes el mismo conector aprobado y el mismo límite de política sin obligarlos a abandonar sus interfaces preferidas.
Su límite definido es demostrar la delegación futura. «Cuenta de agente» es un sujeto de control útil, pero el piloto empresarial aún debe mostrar si la plataforma distingue la autoridad propia del agente de la autoridad delegada por un usuario, acota esa concesión para un subagente, vincula los tokens para evitar su reutilización y revoca la cadena sin desactivar todas las cargas de trabajo que comparten el conector.
Un piloto práctico para Runlayer
La primera opción merece el plan piloto más concreto. Estos pasos reflejan el flujo documentado de catálogo, aprobación, políticas, clientes y auditoría, sin fingir que el producto se implementó durante este análisis.
Registre tres niveles de riesgo
Añada un servidor MCP interno de solo lectura, un conector SaaS con capacidad de escritura y una herramienta capaz de ejecutar una acción irreversible. Mantenga visibles en el catálogo a los propietarios de los servidores y las clasificaciones de los datos.
Asigne una identidad a cada actor
Conecte el proveedor de identidad empresarial y cree sujetos de política separados para un usuario humano, una cuenta de agente de producción y una identidad de prueba de subagente. Rechace cualquier configuración que termine usando una sola cuenta de servicio compartida.
Aplique límites por debajo del servidor
Permita que el usuario vea el conector, que el agente principal invoque herramientas seleccionadas y niegue al subagente el acceso a la herramienta irreversible. Añada condiciones de red y ejecución cuando el flujo cruce un límite de confianza.
Conecte dos clientes distintos
Dirija la misma capacidad gestionada a través de un cliente para desarrolladores y otro orientado al negocio. Confirme que la política sigue a la identidad y al contexto, no a un archivo de configuración local.
Demuestre la cadena de evidencias
Para una solicitud permitida y otra denegada, exporte el actor, cliente, conector, herramienta, resultado de la política, metadatos de seguridad y resultado final. Después, revoque el acceso en la capa de identidad y confirme que la siguiente llamada falla sin esperar a que caduque un token de larga duración almacenado en caché.
La capa de 1Password debe estar aquí, no por encima
1Password es el complemento de credenciales más sólido de esta categoría porque resuelve la custodia de credenciales sin presentarse como el plano de políticas MCP. Su integración actual con Runlayer permite que un administrador introduzca una referencia op:// en lugar de una clave sin procesar; Runlayer obtiene el valor activo mediante el SDK de 1Password al establecer la conexión, lo usa para la solicitud y no almacena ni el valor original ni una caché en disco.
La rotación también resulta útil desde el punto de vista operativo. La integración compara hashes SHA-256 en cada obtención, registra los eventos de consulta y rotación del secreto sin guardar el valor y adopta una credencial rotada en la siguiente conexión. La página activa de precios de 1Password presenta Unified Access con precio personalizado e incluye Enterprise Password Manager, Device Trust, SaaS Manager y Privileged Access.
El límite es igual de importante: inyectar credenciales no demuestra por sí mismo la autoridad delegada. Un secreto protegido todavía puede autorizar a un agente con permisos excesivos. Runlayer sigue siendo responsable de las políticas de actor, herramienta y tiempo de ejecución; 1Password evita que la credencial de origen se guarde en la base de datos del gateway.
2. Proofpoint AI MCP Security: la mejor para descubrimiento y análisis forense de auditoría
Proofpoint AI MCP Security es la mejor opción cuando la organización de seguridad dirige el programa y no puede dar por hecho que el tráfico MCP ya pasa por un gateway autorizado. Su propuesta reúne descubrimiento de implementaciones no autorizadas, refuerzo de servidores, un registro verificado, políticas centralizadas, inspección de contenido y análisis forense de transacciones. Este alcance supera al de un proxy y está más orientado a Seguridad que el plano de control de Runlayer, que prioriza la habilitación.
Ideal para: Empresas que necesitan encontrar MCP sin gestionar en equipos portátiles, nubes, hosts de terceros y gateways existentes antes de aprobar una ruta estándar.
Característica destacada: Reconstrucción completa de la transacción, desde el actor que la inicia, pasando por la aplicación y el modelo, hasta los servidores MCP, con exportación mediante OpenTelemetry al SIEM y al entorno de observabilidad existentes.
Precio: Precio personalizado; la página verificada no publica ningún precio en dólares ni tabla de planes.
Prueba gratuita: No se anuncia ninguna prueba pública; la vía de compra es «Request a Demo».
- El descubrimiento abarca servidores MCP locales, en la nube, de terceros y alojados detrás de gateways.
- Un registro con más de 800 servidores de código abierto verificados incluye etiquetas de procedencia.
- El gateway puede añadir autenticación, autorización, cifrado y controles de integridad sin modificar el servidor.
- Las políticas de OAuth 2.0 controlan el acceso de usuarios y agentes a las herramientas, y pueden bloquear u ocultar contenido sensible.
- La gestión de múltiples gateways y la compatibilidad con OpenTelemetry encajan con operaciones de seguridad distribuidas.
- El material público no menciona DPoP, Workload Identity Federation, ID-JAG ni el intercambio de tokens.
- La forma de compra y el precio en dólares permanecen ocultos hasta iniciar un proceso comercial.
- Un catálogo de 800 servidores no demuestra que un servidor concreto sea seguro para una zona de datos determinada.
- Una gobernanza dirigida por Seguridad puede quedar sin uso si la ruta autorizada es más difícil que la alternativa no controlada.
La ventaja más clara de Proofpoint es que vincula el descubrimiento con la corrección. La empresa afirma que la plataforma identifica ausencia de autenticación, falta de cifrado, hosts remotos no autorizados y servidores locales desprotegidos, para después dirigir el tráfico hacia rutas controladas. Para un banco que encuentra configuraciones MCP dispersas en los equipos de sus desarrolladores, esto aporta más valor el primer día que otro directorio de herramientas.
El registro y el flujo de empaquetado reducen el trabajo sobre la cadena de suministro, pero no lo eliminan. Proofpoint afirma que verifica previamente más de 800 servidores y que puede empaquetar un servidor en un contenedor protegido en menos de 15 minutos. La empresa aún debe decidir si son aceptables las herramientas de ese servidor, sus permisos de origen, su responsable de mantenimiento, su proceso de actualización y su zona de datos. Encapsular una capacidad peligrosa limita el riesgo de ejecución, pero no convierte esa capacidad en apropiada.
El análisis forense es el motivo para pagar el costo adicional de la suite si el piloto lo demuestra. La plataforma describe una cadena que registra quién inició una interacción, qué aplicación y modelo la procesaron, qué servidores se invocaron, las anomalías, las escaladas de privilegios y la exportación mediante OpenTelemetry. Pida reconstruir desde el SIEM una llamada denegada y otra llamada destructiva permitida sin abrir la consola de Proofpoint. Si las evidencias se interrumpen en el gateway, la promesa de auditoría sigue siendo una promesa de panel.
El límite está en la especificidad de la identidad. Proofpoint describe públicamente OAuth 2.0, el control de acceso de usuarios y agentes y la aplicación de políticas. No muestra en público el nuevo flujo de identidad de cargas de trabajo ni de subagentes delegados. El comprador debe exigir identidades separadas para usuario, agente y subagente, y después probar la revocación y reutilización de tokens en lugar de aceptar «autorización basada en agentes» como demostración suficiente.
3. Stacklok Enterprise: la mejor para entornos Kubernetes autoalojados
Stacklok Enterprise es la mejor plataforma para una organización que ya opera Kubernetes y quiere que MCP herede sus controles existentes de ejecución, identidad, red y GitOps. ToolHive, su núcleo de código abierto, ofrece la vía de evaluación; el producto empresarial añade una capa operativa reforzada y soporte. Dentro de esta selección, es el modelo de responsabilidad más claro para nubes privadas, instalaciones locales o despliegues sujetos a una regulación estricta.
Ideal para: Equipos de ingeniería de plataforma con Kubernetes en producción, proveedores de identidad consolidados, políticas de red y observabilidad.
Característica destacada: Los servidores MCP se ejecutan como pods, los namespaces se convierten en límites de confianza y las cuentas Kubernetes ServiceAccounts junto con las declaraciones OIDC se asignan a permisos MCP.
Precio: ToolHive es código abierto bajo Apache 2.0; Stacklok Enterprise ofrece un precio personalizado tras una demo.
Prueba gratuita: ToolHive puede descargarse y evaluarse; en la página de producto verificada no se anuncia ninguna prueba de Enterprise.
- ToolHive, de código abierto, permite que Seguridad inspeccione el entorno de ejecución antes de la compra.
- Registry, Runtime, Gateway y Portal cubren las principales capas operativas de MCP.
- Los límites de Kubernetes y las políticas como código encajan con los controles de plataforma existentes.
- OpenTelemetry nativo envía los datos de las llamadas a herramientas al entorno de observabilidad que ya usa la organización.
- La asignación de OIDC y ServiceAccounts trata a los agentes más como cargas de trabajo que como usuarios de navegador.
- El producto presupone conocimientos de Kubernetes y responsabilidad sobre su operación.
- El código abierto elimina el costo de la licencia, no el de personal, actualizaciones, respuesta a incidentes ni soporte.
- La página verificada no documenta los futuros estándares de delegación de la hoja de ruta.
- Las organizaciones aún necesitan descubrimiento activo para el tráfico MCP que evita el clúster autorizado.
La ventaja de Stacklok es la continuidad arquitectónica. Un equipo de plataforma puede tratar un servidor MCP como otra carga de trabajo, con namespace, ruta de entrada, política de red, cuenta de servicio, registros e historial de despliegue. La terminología de identidad no sirve de nada si el límite de seguridad desaparece en el proceso de la herramienta; Kubernetes aporta controles que el equipo ya sabe revisar y operar.
El caso de uso concreto es una empresa de software para el sector salud que debe conservar los datos de las llamadas a herramientas dentro de su propio entorno. La página de Stacklok indica que el registro, el entorno de ejecución, el gateway y el portal funcionan sobre Kubernetes, mientras que ServiceAccounts y las declaraciones OIDC se asignan a permisos MCP. OpenTelemetry, el estándar abierto para trazas y métricas, envía la actividad a la misma ruta de Grafana, Datadog, Splunk u otra herramienta de observabilidad que la empresa ya opera.
ToolHive también ofrece la forma más honesta de empezar sin comprar una promesa. La licencia Apache 2.0 permite al equipo inspeccionar y ejecutar el núcleo, registrar un pequeño grupo de servidores aprobados y comprender la carga operativa antes de firmar un contrato empresarial. Esa evaluación debe incluir el comportamiento de las actualizaciones, la rotación de certificados, la distribución de políticas, la firma de servidores, la contención de escapes de contenedores y la reversión tras incidentes.
El límite es esa misma fortaleza vista al revés: Stacklok no sustituye a un equipo de plataforma. Una startup con un único agente alojado y sin experiencia con Kubernetes no debería adoptar un clúster solo para usar MCP. Una licencia que parece costar cero dólares puede transformarse en un importante problema interno de responsabilidad cuando la organización debe crear a su alrededor procesos fiables de despliegue, actualización, soporte y descubrimiento.
También necesita una respuesta complementaria para el tráfico no autorizado. Un clúster gestionado puede ser excelente mientras los desarrolladores siguen ejecutando servidores locales desde clientes de IA fuera de él. El piloto debe mostrar cómo el descubrimiento en endpoints o red identifica esas rutas y cómo las políticas las obligan a pasar por el gateway aprobado.
4. Operant AI: la mejor prueba y cobertura del endpoint a la nube
Operant AI es la plataforma que se puede evaluar con mayor rapidez porque publica una prueba en sandbox de 7 días para clientes que cumplan los requisitos, sin tarjeta de crédito y con modo de solo observación de forma predeterminada. Su cobertura abarca endpoints de empleados, agentes de producción, tráfico MCP y tráfico de modelos, lo que resulta útil cuando los agentes de programación en equipos portátiles y los agentes en la nube conforman una única superficie de ataque conectada. La plataforma también documenta la aplicación de políticas a identidades no humanas, o NHI, en lugar de limitarse a usuarios humanos.
Ideal para: Organizaciones que necesitan evaluar conjuntamente agentes de programación en endpoints, agentes en la nube, servidores MCP y aplicaciones de IA.
Característica destacada: Un sandbox de 7 días sin tarjeta da acceso a toda la plataforma, y los pilotos de pago se descuentan por completo de la suscripción del primer año.
Precio: Precio personalizado según endpoints, agentes y profundidad de la gobernanza; hay opciones mensuales, anuales, por volumen y plurianuales.
Prueba gratuita: Sandbox aprovisionado durante 7 días para clientes que cumplan los requisitos, con modo de solo observación predeterminado.
- El descubrimiento abarca herramientas de desarrollo locales, endpoints, agentes en la nube y servidores MCP.
- La detección en tiempo de ejecución cubre inyección de prompts, jailbreaks, envenenamiento de herramientas, acceso no autorizado y filtración de datos sensibles.
- Las zonas de confianza, el bloqueo, el enmascaramiento, los límites de frecuencia y la aplicación de políticas basada en identidad están disponibles en una sola plataforma.
- Scale incluye Cloud MCP Gateway; Enterprise añade opciones VPC, locales y aisladas de Internet.
- Las condiciones públicas de la prueba permiten reunir evidencias antes de firmar un contrato.
- Los precios en dólares siguen siendo personalizados pese a que existe una página detallada de planes.
- Pro ofrece Cloud MCP Gateway como complemento, por lo que el plan inicial no constituye el producto MCP completo.
- El despliegue privado, local y aislado de Internet exige Enterprise.
- La amplia cobertura de endpoints e IA puede duplicar controles que ya posee una infraestructura de seguridad consolidada.
Los paquetes de Operant resultan inusualmente informativos incluso sin importes en dólares. Pro incluye supervisión de IA no autorizada con Endpoint Protector y supervisión en tiempo de ejecución con Agent Protector; Cloud MCP Gateway y AI Gatekeeper son complementos. Scale incluye Endpoint Protector completo, Agent Protector completo y Cloud MCP Gateway, mientras AI Gatekeeper sigue siendo un complemento. Enterprise reúne las cuatro áreas de producto y añade defensas personalizadas, escala multirregional, SSO, SCIM, plantillas de gestión de dispositivos, acceso por API y webhooks, además de despliegues VPC, locales y aislados de Internet.
Estos paquetes establecen un punto de cambio claro entre planes. Si el único requisito es observar las primeras actividades de endpoints y agentes, Pro puede abrir la conversación. En cuanto sea obligatorio aplicar políticas centralizadas al tráfico MCP, la comparación real empieza en Scale o en un precio de Pro que incorpore el gateway. Un despliegue privado regulado desplaza la elección a Enterprise.
El sandbox de 7 días basta para una prueba enfocada, no para un despliegue empresarial. Los clientes aprobados reciben una instancia totalmente aprovisionada con todos los módulos e integraciones habilitados durante la prueba. Incorpore un cliente de programación, un agente en la nube y tres servidores MCP. Empiece en modo de solo observación y registre el grafo descubierto; después, active el bloqueo para un servidor no confiable, un caso de envenenamiento de herramienta y una ruta de datos sensibles. Confirme que la alerta conserva el contexto de identidad y acción necesario para responder.
El límite está en la duplicación y la opacidad del precio. Una empresa que ya paga por descubrimiento de endpoints, DLP, seguridad de API, un gateway de IA y un SIEM puede duplicar controles. Pida a Operant que compare el precio del paquete con los controles que reemplaza y exija que la propuesta desglose endpoints, agentes de producción, gateway MCP, tipos de datos, retención, modo de despliegue y sobrecostos.
5. Netskope One Agentic Broker: la mejor para clientes actuales de Netskope DLP
Netskope One Agentic Broker encaja mejor cuando Netskope ya controla la seguridad web y la prevención de pérdida de datos de la organización. Descubre servidores MCP, clientes, herramientas, recursos y solicitudes de prompts; puntúa servidores públicos mediante Cloud Confidence Index; aplica políticas de acceso y registra actividad al nivel de herramienta. El motivo para comprarlo es la continuidad de los controles con Netskope One DLP, no una competición aislada de funciones MCP.
Ideal para: Clientes actuales de Netskope que controlan el uso de MCP públicos y remotos desde clientes de programación, chat y desarrollo.
Característica destacada: Puntuación de riesgo de servidores públicos y políticas DLP específicas para MCP dentro de una infraestructura consolidada de acceso seguro.
Precio: Pedido personalizado, con licencias por usuarios supervisados, paquetes de transacciones o ambos.
Prueba gratuita: No se anuncia ninguna prueba pública en la página de producto verificada.
- La visibilidad continua abarca sesiones, servidores, clientes, herramientas, recursos y prompts.
- Cloud Confidence Index evalúa el tipo de autenticación, la versión del protocolo y los atributos de riesgo del servidor.
- Una política de bloqueo predeterminada puede impedir el uso de MCP públicos hasta que el servidor esté aprobado.
- Los registros detallados de inicialización, solicitud de herramienta y respuesta permiten investigaciones retrospectivas.
- Las políticas DLP pueden identificar y bloquear información sensible en el tráfico de agentes.
- Se necesita la licencia complementaria de DLP para crear y aplicar políticas DLP.
- Las asignaciones de transacciones no se acumulan para el mes siguiente.
- Alcanzar el límite de transacciones puede suspender el servicio durante el resto del mes.
- La propuesta es más sólida para tráfico MCP público y remoto, por lo que el entorno privado y la identidad de las cargas de trabajo requieren una demostración cuidadosa.
La ventaja de Netskope para el comprador es aprovechar el contexto existente de políticas y datos. Una empresa que ya clasifica información sensible y aplica controles de acceso web con Netskope puede extenderlos a MCP, en vez de exportar el tráfico de herramientas a un nuevo motor DLP. Esto puede acortar el diseño de políticas y el enrutamiento de incidentes, tareas que a menudo cuestan más que el propio gateway.
Sus condiciones de licencia merecen más atención que la página de funciones. Una licencia de usuario incluye una asignación mensual fija de transacciones; los paquetes de transacciones pueden complementarla o sustituir las licencias por usuario. Las transacciones no utilizadas no se acumulan. Netskope avisa al llegar al 80 por ciento de la cantidad de transacciones contratada, y las condiciones indican que el servicio puede suspenderse durante el resto del mes cuando se supera el límite.
Un escenario de planificación muestra por qué importa la unidad. 1,000 usuarios supervisados x 50 transacciones MCP de solicitud-respuesta por día laborable x 22 días laborables equivale a 1.1 millones de transacciones al mes. Son supuestos de carga, no datos de uso observados. Sustitúyalos por datos del piloto y dimensione para un mes pico, no para el promedio, porque la capacidad no utilizada desaparece y un exceso puede detener el servicio.
La dependencia de DLP constituye otra partida presupuestaria. La documentación técnica de Netskope indica que se necesita la licencia complementaria para crear y aplicar políticas DLP. Una propuesta que enumere Agentic Broker sin DLP puede demostrar visibilidad, pero omitir el control que justificaba elegir Netskope.
El límite es el alcance. La página de producto destaca los servidores MCP públicos y el tráfico de clientes, mientras que la documentación abarca servidores remotos y un inventario que también incluye implementaciones locales y en contenedores. Pida al piloto que demuestre descubrimiento local, enrutamiento de servidores privados, identidad de cargas de trabajo autónomas y continuidad de las políticas fuera del navegador o el dispositivo del empleado.
6. Salt Agentic Security Platform: la mejor para entornos con uso intensivo de API
Salt Agentic Security Platform encaja mejor cuando las acciones de mayor riesgo de los agentes ya atraviesan un entorno de API extenso y mal cartografiado. Su Agentic Security Graph conecta agentes, servidores MCP, herramientas y API, y sobre esa base añade descubrimiento, análisis de postura, políticas y detección en tiempo de ejecución a lo largo de toda la ruta de acción. Es la visión más amplia de API a agente en esta selección, pero no la compra más clara si se busca un gateway MCP listo para instalar.
Ideal para: Bancos, minoristas, plataformas SaaS y otras empresas donde el riesgo de los agentes no puede separarse de las API no autorizadas, internas, de socios y públicas.
Característica destacada: Un único grafo representa cada agente, servidor MCP y API, con contexto de postura y ejecución en toda la capa de acción.
Precio: Precio personalizado; las páginas verificadas no muestran precios en dólares ni una tabla pública de planes.
Prueba gratuita: No se anuncian condiciones de prueba de autoservicio; «Try Salt» conduce a una solicitud de demo.
- El descubrimiento abarca agentes, servidores MCP, herramientas conectadas y API no autorizadas u obsoletas.
- El análisis de postura detecta configuraciones MCP peligrosas, permisos excesivos de agentes, credenciales expuestas y autorizaciones débiles de API.
- La protección en tiempo de ejecución sigue el uso de herramientas MCP, la actividad de API, el acceso a datos y los comportamientos anómalos.
- Policy Hub contiene 100 políticas preconfiguradas y admite un número ilimitado de políticas personalizadas.
- El contexto de seguridad de API existente puede revelar el alcance posterior de una acción del agente.
- Las páginas públicas son más concretas sobre seguridad de API y visibilidad del grafo que sobre la mecánica de despliegue del gateway MCP.
- El producto no publica precios en dólares ni condiciones de prueba de autoservicio.
- El equipo de plataforma aún necesita un registro autorizado, una ruta de credenciales y un diseño de control de acceso por herramienta.
- Las páginas revisadas no mencionan los futuros estándares de identidad de agentes de la hoja de ruta.
La evidencia más reciente de Salt es su biblioteca de políticas. El 20 de julio de 2026, la empresa indicó que Policy Hub había alcanzado 100 políticas preconfiguradas, de las cuales 61 se activan automáticamente, más de 12 se orientan a la seguridad de IA y agentes, y existen asignaciones a ocho marcos de cumplimiento. Las políticas cubren configuración MCP, autorización de agentes, seguridad de datos, OAuth, arquitectura de API, riesgo de terceros y comportamiento en tiempo de ejecución.
El caso de uso concreto es un minorista cuyo agente de atención puede emitir reembolsos mediante una API interna. El servidor MCP podría estar bien configurado mientras la API de reembolsos subyacente acepta un alcance excesivo o secuencias anómalas. El grafo de Salt está diseñado para conectar el agente, la herramienta MCP, la API, los datos y el comportamiento, de modo que Seguridad vea la ruta de la acción y no solo el prompt.
Ese es también el motivo por el que Salt ocupa el sexto lugar. El material público detalla el descubrimiento, la postura, las políticas, el riesgo de API y la protección en tiempo de ejecución, pero explica menos que Runlayer, Proofpoint o Stacklok sobre el flujo cotidiano del plano de control MCP: aprobación del catálogo, enrutamiento por el gateway, inyección de credenciales, políticas por herramienta y distribución a clientes. Para un cliente de seguridad de API, puede ser el complemento correcto. Para comprar una plataforma MCP desde cero, exija una demo que demuestre esa mecánica antes de asumir que el grafo desempeña la función de gateway.
Qué plataforma conviene en cada caso
Elija según el límite más difícil de controlar en su entorno y use la identidad como criterio de desempate.
Elija Runlayer cuando empleados y agentes utilizan muchos clientes y la empresa necesita un catálogo autorizado más sencillo que una configuración fuera de control. Gana cuando la habilitación, las cuentas de agente, el alcance por herramienta, las comprobaciones en tiempo de ejecución y la auditoría deben convivir en un mismo plano operativo.
Elija Proofpoint cuando Seguridad comienza con un entorno desconocido. Su descubrimiento, corrección, refuerzo de servidores, inspección de contenido y análisis forense de transacciones lo convierten en la compra inicial más sólida para programas centrados en MCP no autorizados y auditoría.
Elija Stacklok cuando MCP debe ejecutarse dentro de su entorno Kubernetes y el equipo de ingeniería de plataforma ya controla identidad, políticas de red, GitOps y observabilidad. Su núcleo de código abierto también es la mejor vía para inspeccionar el entorno de ejecución antes de firmar un contrato comercial.
Elija Operant cuando necesite evaluar en conjunto agentes de programación de empleados, agentes en la nube, servidores MCP y aplicaciones de IA. Su sandbox público de 7 días ofrece la vía de prueba con menos fricción, mientras Scale y Enterprise incluyen los planes relevantes para aplicar políticas MCP.
Elija Netskope cuando Netskope ya protege la web, la nube y los datos sensibles. La decisión deja de favorecer a Netskope si DLP aún no está presupuestado, la capacidad de transacciones es imprevisible o el entorno de ejecución es principalmente privado y autónomo, no público y orientado a usuarios.
Elija Salt cuando MCP sea una arista de un grafo de acciones de API mucho mayor. La decisión deja de favorecer a Salt si la necesidad urgente es un catálogo aprobado, un bróker de credenciales y un gateway MCP para clientes, y no la postura de las API y su comportamiento en tiempo de ejecución.
Hay una prueba que puede cambiar cualquier decisión: pida al proveedor que muestre a un agente actuando en nombre de un usuario, delegando una tarea más limitada en un subagente, invocando una herramienta permitida, recibiendo la denegación de otra más potente y dejando una cadena de evidencias completa y revocable. Si la plataforma no puede hacerlo, su descubrimiento, sus paneles y el tamaño de su catálogo no cierran la brecha de delegación.
Cuánto cuesta una plataforma empresarial de seguridad MCP
El mercado público no permite ordenar las opciones por precio de lista. Entre Runlayer, Proofpoint, Stacklok Enterprise, Operant, Netskope y Salt, ninguna de las seis páginas públicas de producto o precios revisadas mostraba un precio en dólares el 24 de agosto de 2026. Stacklok solo es una excepción en su núcleo de código abierto: ToolHive se puede descargar con licencia Apache 2.0, pero la distribución empresarial sigue un proceso comercial.
Los criterios de tarificación no son equivalentes:
- Runlayer, Proofpoint, Stacklok y Salt comienzan con demos o alcances empresariales personalizados.
- Operant fija el precio según endpoints, agentes de producción, productos, profundidad del despliegue y requisitos de gobernanza.
- Netskope licencia por usuarios supervisados, paquetes de transacciones o ambos, con una dependencia adicional de DLP.
- 1Password ofrece Unified Access con precio personalizado como plataforma de identidad que acompaña al gateway.
Normalice cada propuesta para la misma carga anual: identidades, agentes, servidores MCP, herramientas, transacciones mensuales, retención, entornos, regiones de datos, modelo de despliegue, soporte, complementos necesarios y comportamiento ante excesos. Una tarifa base baja que omite la licencia DLP o impone un límite de transacciones no representa la plataforma más barata.
El modelo de desarrollo frente a compra ofrece un techo útil cuando los proveedores no publican precios. Use sus propios costos laborales completos; lo que sigue es un modelo de planificación, no un precio de mercado:
- Plano de control propio: dos ingenieros x ocho semanas x 40 horas x $150 por hora = $96,000 de trabajo interno antes del soporte continuo.
- Piloto con proveedor: cuatro semanas x 30 horas de ingeniería de plataforma más 10 horas de ingeniería de seguridad por semana x $150 por hora = $24,000 de trabajo interno antes de la licencia.
- Punto de equilibrio de la licencia durante el primer año: $96,000 menos $24,000 = $72,000.
El modelo excluye intencionalmente de ambos lados el entorno de ejecución en la nube, los escáneres de terceros, la gestión de secretos, DLP, el almacenamiento del SIEM y las operaciones continuas. Añádalos de manera simétrica. No contabilice un control como ahorro del proveedor si otro producto existente ya lo ofrece, ni confunda una licencia de código abierto con un costo operativo de cero.
Esta es la consecuencia empresarial de la nueva hoja de ruta. La identidad y la delegación son ahora demostraciones separadas, por lo que una propuesta de gateway que omita la capa de identidad está incompleta. Presupueste la cadena de autoridad, no solo el punto de paso obligado del tráfico.
Las opciones que conviene evitar
El producto equivocado suele ser un producto útil al que se le asignó una función inadecuada.
MCPJam como control de seguridad en producción
MCPJam es un entorno competente para probar MCP, no la capa de aplicación de políticas en tiempo de ejecución que exige esta compra. Su página activa de precios se centra en Inspector, depurador OAuth, registrador JSON-RPC, registro, créditos de evaluación y colaboración.
Los precios son excepcionalmente claros: Free cuesta $0 al mes, con 200 créditos al día y 25 iteraciones de evaluación al día; Team cuesta $30 por usuario al mes con facturación anual, con 10,000 créditos por usuario al mes y 5,000 iteraciones de evaluación al mes; Enterprise tiene un precio personalizado, compromiso anual, SSO/SAML, RBAC personalizado, retención de auditoría, DPA y SLA.
Use MCPJam para inspeccionar, depurar y evaluar servidores antes del despliegue. No considere que los créditos de prueba, SSO y un SLA empresarial demuestran la aplicación de políticas en llamadas a herramientas, identidad de cargas de trabajo, descubrimiento de red o contención en tiempo de ejecución.
Promptfoo MCP Proxy como único plano de control
Promptfoo MCP Proxy es un control específico solvente para crear listas de permitidos, gestionar el acceso de aplicaciones y usuarios, supervisar la actividad, detectar datos sensibles y centralizar políticas. Se mantiene por debajo de las plataformas clasificadas porque su página pública de MCP no documenta la delegación de cuentas de agente, la identidad de cargas de trabajo, el uso de sandboxes, un entorno de servidor gestionado ni los nuevos estándares de la hoja de ruta.
Los precios generales de Promptfoo incluyen un plan Community gratis para siempre con hasta 10,000 pruebas de red team al mes, además de planes Enterprise y On-Premise con precio personalizado. Úselo cuando el trabajo consista en red teaming y un proxy específico. No convierta un proxy limitado en un sistema operativo MCP empresarial sin demostrar descubrimiento, identidad, límites de ejecución y delegación.
1Password Unified Access como sustituto del gateway
1Password Unified Access tiene un lugar en la arquitectura, pero no en la casilla del gateway. Gestiona identidad, acceso privilegiado, confianza del dispositivo, descubrimiento de SaaS, credenciales en tiempo de ejecución y auditoría con precio personalizado. La integración documentada con Runlayer demuestra la separación correcta: 1Password custodia el secreto y lo obtiene cuando se solicita; Runlayer decide si el actor y la llamada a la herramienta tienen permiso.
Comprar solo la capa de secretos deja sin resolver el inventario de servidores, el enrutamiento MCP, el envenenamiento de herramientas, la validación de parámetros, la inspección de contenido y las políticas por herramienta. Comprar solo el gateway puede crear otra base de datos de secretos. La pareja es creíble porque cada producto se mantiene en su función.
Lista de comprobación para un piloto de seguridad MCP
Un proveedor solo aprueba si aporta evidencias de la acción, no una diapositiva sobre la función.
Descubra la ruta no autorizada
Coloque un servidor local, uno remoto y otro detrás del gateway aprobado. La plataforma debe encontrar los tres o explicar expresamente cómo los cubre, e identificar el cliente, las herramientas, la versión, el propietario y la zona de datos.
Separe al usuario, al agente y al subagente
Asigne una identidad distinta a cada actor. El agente puede heredar un mandato limitado del usuario; el subagente debe recibir una concesión más restringida. Rechace cualquier diseño que transforme la cadena en un único token reutilizable.
Aplique políticas en el límite de la herramienta
Permita una herramienta de lectura, autorice otra de escritura con condiciones y deniegue una herramienta irreversible. Confirme que el agente no puede eludir la denegación usando otro cliente, un alias del servidor o una herramienta encadenada.
Envenene ambas direcciones
Inserte una instrucción en la descripción de una herramienta y otra instrucción maliciosa en el resultado de una herramienta. La plataforma debe inspeccionar los metadatos de entrada y los resultados encadenados, no solo el prompt original del usuario.
Limite la ejecución
Intente desde el servidor una acción inesperada sobre archivos, redes o procesos. Confirme que los límites del sandbox y de la red detienen el movimiento lateral incluso si el motor de políticas no detecta la intención.
Robe y reutilice un token
Copie un token de prueba y úselo desde una carga de trabajo equivocada o después de revocarlo. Pregunte cómo DPoP, la federación, el intercambio de tokens, la caducidad, la audiencia y la vinculación de claves cambiarán el resultado a medida que avance la hoja de ruta.
Reconstruya la acción
Exporte al SIEM el actor, el usuario que delega, el cliente, el agente, el servidor, la herramienta, los parámetros, la decisión de política, el hash del resultado cuando esté disponible, el resultado final y el evento de revocación.
Cotice la misma carga de trabajo
Proporcione a cada proveedor las mismas cifras de usuarios, agentes, servidores, herramientas, transacciones, retención, entornos, regiones, complementos y soporte. Compare una cifra anual y un plan de salida a tres años.
No permita que el equipo de plataforma pruebe únicamente las llamadas exitosas. La demostración de seguridad está en la solicitud denegada, el token revocado, el resultado encadenado bloqueado, el proceso aislado y el rastro forense completo.
Preguntas frecuentes
¿Cuál es la mejor plataforma de seguridad MCP?
Runlayer es la mejor plataforma general de seguridad MCP para desplegar agentes empresariales con múltiples clientes porque reúne catálogo, políticas adaptadas a agentes, comprobaciones en tiempo de ejecución y auditoría. Proofpoint es mejor para descubrir implementaciones no autorizadas y realizar análisis forense, mientras Stacklok destaca en entornos Kubernetes autoalojados.
¿Qué son las herramientas de seguridad MCP?
Las herramientas de seguridad MCP controlan la conexión entre los clientes o agentes de IA y las herramientas que estos invocan. Una plataforma completa descubre servidores, verifica actores, reduce permisos, inspecciona llamadas y resultados, limita la ejecución, revoca el acceso y conserva evidencias.
¿Cuáles son las principales vulnerabilidades de seguridad de MCP?
Los principales riesgos son credenciales demasiado amplias o de larga duración, servidores no autorizados, envenenamiento de herramientas, inyección en prompts y parámetros, resultados encadenados inseguros, aislamiento de ejecución deficiente, reutilización de tokens, permisos excesivos de agentes, código de servidor vulnerable y registros de auditoría incompletos.
¿Qué debe incluir una lista de comprobación de seguridad MCP?
Incluya inventario, revisión de proyectos compatibles, identidad de cargas de trabajo, alcance delegado, autorización por herramienta, uso de sandboxes, validación de parámetros, inspección de entradas y salidas, custodia de credenciales, protección contra reutilización de tokens, revocación rápida, actualizaciones y evidencias con calidad de SIEM.
¿Existe una plataforma de seguridad MCP de código abierto?
Sí. ToolHive de Stacklok es la vía de plataforma de código abierto más sólida de esta selección y utiliza una licencia Apache 2.0. Ofrece una base de evaluación y ejecución, pero la empresa sigue siendo responsable del despliegue, las actualizaciones, el soporte, el descubrimiento fuera de la ruta gestionada y los controles de seguridad complementarios.
La tarea del lunes: compre evidencias, no promesas
El lunes, elija un agente con un responsable de negocio y tres herramientas: una de solo lectura, otra con capacidad de escritura y una irreversible. Dibuje la cadena de autoridad desde el usuario hasta el agente y el subagente; después, registre en cada salto la identidad, el origen de las credenciales, el alcance, el propietario del servidor, la zona de datos, el destino de los registros y el responsable de la revocación.
El martes, dirija la misma carga de trabajo a través de las dos plataformas que mejor correspondan a su límite operativo. Para la mayoría de las empresas, esto significa comparar Runlayer con Proofpoint, Runlayer con Stacklok u Operant con Netskope. Mantenga constantes los clientes y las herramientas para que la plataforma sea la única variable.
El miércoles, provoque cuatro fallos: envenene la descripción de una herramienta, inyecte una instrucción maliciosa en el resultado de otra, reutilice desde la carga de trabajo equivocada un token copiado y pida al subagente que invoque la herramienta irreversible. Registre qué capa bloquea cada acción y qué evidencias sobreviven.
El jueves, revoque por separado el mandato del usuario y la identidad del agente. Confirme que el acceso se corta de inmediato, que las credenciales en caché fallan y que el SIEM puede reconstruir el actor, el alcance delegado, los parámetros, la decisión de política, el resultado y el desenlace.
El viernes, entregue a ambos proveedores la misma carga anual y compare su propuesta completa con la línea de $72,000 para la licencia del primer año del modelo de planificación. Compre solo si la cadena de evidencias queda completa y la propuesta supera la alternativa interna en costo, control o riesgo operativo. Si ninguna plataforma aprueba, mantenga el agente en modo de solo lectura y repita la prueba en lugar de financiar un despliegue sin control.
Obtenga la lista de auditoría de flujos de trabajo empresariales con IA
La lista gratuita de auditoría de flujos de trabajo empresariales con IA convierte una idea de agente en un piloto delimitado, con responsable, límite de autoridad, criterio de aceptación, techo presupuestario y regla de suspensión. Suscríbase para recibir la lista y la próxima guía de implementación verificada.
2 sept 2026
Prefiera este sitio en Google
Marque omidsaffari.com como fuente preferida y Google lo destacará para usted en Top Stories, AI Overviews y AI Mode.
