Skills y MCP: convertir el conocimiento de procesos en piezas para agentes de IA

El conocimiento de los procesos de una empresa se vuelve utilizable de forma fiable para los agentes de IA si lo separa según su naturaleza: los procedimientos van en Agent Skills; el acceso a sistemas y datos, en servidores basados en el Model Context Protocol (MCP); y el conocimiento documental extenso, en una búsqueda mediante generación aumentada por recuperación (RAG). Ninguno de estos estándares hace por sí solo que un agente sea seguro o infalible. Eso solo lo consiguen permisos limitados, aprobaciones humanas y un mantenimiento del conocimiento con responsabilidades claras.

La pregunta se vuelve práctica. Según Bitkom, el 11 % de las empresas alemanas que usan, planifican o debaten la IA ya emplean agentes de IA, y otro 29 % lo planea. A diferencia de un chatbot, un agente realiza tareas de forma autónoma. Esto plantea de nuevo una vieja pregunta: ¿dónde está escrito cómo funciona en su empresa un procedimiento de inspección o el cálculo de una oferta? A menudo, en las cabezas, en documentos dispersos y en costumbres. Gartner pronostica que más del 40 % de los proyectos de IA agéntica se cancelarán antes de finales de 2027, entre otras cosas por un beneficio poco claro y controles de riesgo insuficientes. Un conocimiento de procesos bien estructurado actúa justo sobre estos dos puntos.

Cuatro piezas para cuatro tipos de conocimiento

Skills y MCP resuelven problemas distintos. Según la especificación, un Agent Skill es una carpeta con un archivo llamado SKILL.md: nombre, descripción e instrucciones en Markdown, complementados opcionalmente con scripts, documentos de referencia y plantillas. El agente lee primero solo el nombre y la descripción y carga el resto únicamente cuando la tarea lo requiere. Los Skills transportan conocimiento de procedimiento: el orden de los pasos de inspección, las reglas de tolerancia, los requisitos de formato.

MCP, en cambio, regula el acceso. La especificación describe un protocolo abierto mediante el cual las aplicaciones de IA invocan herramientas y consultan datos, por ejemplo de sistemas ERP, PLM o de gestión documental. Un conector se construye una vez y pueden usarlo aplicaciones de distintos fabricantes.

RAG recupera hechos de colecciones de documentos en tiempo de ejecución sin modificar el modelo. El ajuste fino (fine-tuning), en cambio, adapta los pesos del modelo. Puede compensar para tareas permanentes de estilo o clasificación, pero se vuelve costoso en cuanto el conocimiento cambia.

Ambos estándares proceden originalmente de Anthropic. Desde diciembre de 2025, MCP está en manos de la Agentic AI Foundation, bajo el paraguas de la Linux Foundation, de la que también son miembros OpenAI, Google, Microsoft y SAP. Los Agent Skills son un estándar abierto desde el 18 de diciembre de 2025, compatible, según agentskills.io, con aplicaciones de numerosos fabricantes. A diciembre de 2025 había, según Anthropic, más de 10.000 servidores MCP públicos. Esto reduce el riesgo de dependencia de un proveedor, pero la especificación evoluciona: la versión actual del 28 de julio de 2026 introduce cambios fundamentales. Los servidores propios necesitan, por tanto, mantenimiento.

Cada pieza forma parte de la cadena de suministro de software

Los Skills y los servidores MCP no son inofensivos fragmentos de texto. La propia especificación de MCP establece que las herramientas suponen ejecución de código arbitrario y que el protocolo no puede imponer por sí solo sus principios de seguridad. La autorización es allí opcional; donde se implementa, los tokens deben estar vinculados exactamente al servidor correspondiente.

Está bien documentado el envenenamiento de herramientas (tool poisoning): instrucciones ocultas en las descripciones de herramientas, que el modelo lee pero el usuario no ve, llevaron a un agente en una demostración a leer archivos de configuración y claves SSH. Una variante cambia la descripción solo después de la aprobación. También para los Skills, Anthropic aconseja instalarlos solo desde fuentes de confianza. La lista de OWASP de los diez riesgos más importantes de las aplicaciones agénticas, de diciembre de 2025, trata estos riesgos de la cadena de suministro como categoría propia.

La conclusión: limitar el daño en lugar de esperar una detección perfecta. En sus principios de diseño de confianza cero, la BSI alemana y la ANSSI francesa recomiendan restringir los derechos de acceso a lo necesario y que personas supervisen las decisiones críticas. En la práctica significa: solo servidores y Skills aprobados internamente, versiones fijadas, revisión de las descripciones de herramientas modificadas, permisos mínimos en lugar de acceso total y scripts ejecutados de forma aislada. Los pedidos, los correos a clientes y las exportaciones de datos solo se ejecutan tras una aprobación humana.

La gobernanza decide la fiabilidad

Un Skill es tan bueno como el procedimiento que describe. Su ventaja: los especialistas pueden leerlo. Según agentskills.io, los Skills deben traducir tareas de varios pasos en flujos coherentes y auditables. Eso solo funciona si alguien asume la responsabilidad técnica del contenido, versiona los cambios y documenta las aprobaciones.

Un ejemplo ilustrativo, no un caso real: un proveedor quiere apoyar la inspección de primeras muestras. El Skill contiene el orden de inspección, las reglas de tolerancia y una plantilla de informe. Un servidor MCP lee datos de pedidos y el estado de los planos en el ERP y el PLM, solo en modo lectura. Los extractos internos de normas se hacen accesibles mediante una búsqueda RAG, siempre que las licencias lo permitan. El agente redacta el informe y el departamento de calidad lo aprueba.

Antes de que un proyecto así abandone la fase piloto, conviene responder algunas preguntas: ¿quién es responsable del contenido del Skill? ¿Con qué casos de prueba reales se comprueba el resultado y qué error saldría caro? ¿Qué derechos tiene el agente y con qué identidad? ¿Qué ocurre si cambian el sistema de origen o la especificación? Una guía de varias agencias de seguridad anglosajonas aconseja igualmente empezar con tareas bien delimitadas y de bajo riesgo.

El ajuste fino sigue siendo la última opción. Mientras los Skills, RAG y servidores MCP con permisos bien definidos resuelvan la tarea, su conocimiento de procesos sigue siendo editable y trazable, en lugar de desaparecer en los pesos de un modelo.

Cuál de sus procesos sirve como primer caso de prueba puede aclararse en un breve estudio de viabilidad con capinori.

Preguntas frecuentes sobre Agent Skills y MCP

Fuentes (11)

• Bitkom: Künstliche Intelligenz in der Wirtschaft 2026, presentación, 14/09/2026 (en alemán)
• Gartner: Over 40% of Agentic AI Projects Will Be Canceled by End of 2027, 25/06/2025 (en inglés)
• Agent Skills: web y especificación, consultadas el 15/10/2026 (en inglés)
• Anthropic: Equipping agents for the real world with Agent Skills, 16/10/2025, actualizado el 18/12/2025 (en inglés)
• Anthropic: Donating the Model Context Protocol and establishing the Agentic AI Foundation, 09/12/2025 (en inglés)
• Linux Foundation: Formation of the Agentic AI Foundation, 09/12/2025 (en inglés)
• Model Context Protocol: especificación, registro de cambios 2026-07-28, autorización y buenas prácticas de seguridad, consultadas el 15/10/2026 (en inglés)
• Invariant Labs: MCP Security Notification: Tool Poisoning Attacks, 01/04/2025 (en inglés)
• OWASP GenAI Security Project: Top 10 for Agentic Applications for 2026, 09/12/2025 (en inglés)
• ANSSI y BSI: Design Principles for LLM-based Systems with Zero Trust, 11/08/2025 (en inglés)
• Mayer Brown: Multi-Agency Guidance on Securing Agentic AI Systems, 10/06/2026 (resumen de «Careful Adoption of Agentic AI Services», NSA y otros, 30/04/2026) (en inglés)