¿Qué es Filesystem (reference server)?
Filesystem es uno de los siete servidores de referencia que el grupo directivo de MCP sigue manteniendo en el repositorio principal modelcontextprotocol/servers; a diferencia de GitHub, Postgres o Slack, no se ha trasladado al archivo. Da a un asistente de IA 13 herramientas para leer y escribir archivos, editarlos con salida en formato diff, crear y listar directorios, mover archivos, buscar por patrón y leer metadatos de archivos. La versión 2.0.0, publicada el 19 de octubre de 2026, admite tanto el protocolo 2026-07-28 como los clientes de la era 2025, y necesita Node.js 24 o posterior.
El acceso se limita a los directorios permitidos, que se pasan en la línea de comandos (npx -y @modelcontextprotocol/server-filesystem /path/to/dir). Los clientes más antiguos que admiten MCP Roots todavía pueden sustituirlos en tiempo de ejecución, pero Roots está obsoleto en la especificación 2026-07-28. El paquete de npm se descargó unas 440.000 veces en la semana hasta el 18 de octubre de 2026.
Cómo instalar Filesystem (reference server)
npx -y @modelcontextprotocol/server-filesystem /path/to/allowed/dir¿Merece la pena Filesystem (reference server)?
El servidor de referencia Filesystem sigue vivo y mantenido en el repositorio principal modelcontextprotocol/servers, y recibió una actualización importante el 19 de octubre de 2026. La versión 2.0.0 habla tanto el nuevo protocolo 2026-07-28 como el handshake anterior de 2025, y eleva la versión mínima de Node.js a 24, lo que romperá configuraciones en máquinas antiguas. Unas 440.000 descargas semanales en npm muestran cuántas configuraciones siguen dependiendo de él.
Trece herramientas cubren lo que le falta a una app de chat: read_text_file con head y tail, read_media_file, read_multiple_files, write_file, edit_file con un diff al estilo de git y una vista previa dryRun, listados y árboles de directorios, search_files, move_file, get_file_info y list_allowed_directories. Cada llamada se comprueba contra los directorios permitidos, y cada herramienta lleva indicaciones de solo lectura, idempotente y destructiva para que un cliente pueda preguntar antes de escribir. No hay herramienta de borrado, una omisión sensata.
El modelo de acceso cambió con el nuevo protocolo. MCP Roots, que permitía a un cliente cambiar las carpetas permitidas en tiempo de ejecución, está obsoleto en la especificación 2026-07-28, así que para un cliente moderno los directorios de la línea de comandos son toda la lista de permitidos. La línea 2.0 también endureció el manejo de roots: una actualización sin roots válidos ahora revoca el acceso en lugar de volver al valor anterior. El historial aconseja mantenerse al día. En julio de 2025, dos avisos de gravedad alta, CVE-2025-53109 y CVE-2025-53110, mostraron que los enlaces simbólicos y los prefijos de ruta parecidos podían escapar del sandbox; se corrigieron en la 0.6.3 y la 2025.7.1.
El proyecto MCP dice claramente que estos servidores son ejemplos educativos, no productos para producción. write_file sobrescribe en el sitio y no es atómico ante caídas, y apuntar el servidor a un directorio personal entrega al modelo todos los dotfiles y claves que contenga. La imagen Docker con montajes de solo lectura, documentada en el README, es el patrón más seguro. Claude Code, Cursor y Codex traen sus propias herramientas de archivos, mejores, así que el sitio natural del servidor es Claude Desktop y los agentes propios creados con un SDK.
Dónde se gana su sitio
Una responsable de operaciones que usa Claude Desktop en un portátil de trabajo
Dejar que el asistente lea y ordene una carpeta de actas de reuniones e informes
Añade la configuración de npx con un solo directorio permitido, como ~/Documents/ops. El modelo puede resumir, renombrar con move_file y reescribir archivos; no hay herramienta de borrado, pero write_file sobrescribe, así que mantén la carpeta en una ubicación sincronizada o con copia de seguridad.
Un desarrollador que crea un agente de procesamiento de documentos con un SDK de MCP
Dar al agente acceso a archivos en sandbox sin escribir herramientas de archivos
Ejecuta la imagen Docker mcp/filesystem con el espacio de trabajo montado bajo /projects y los datos de referencia montados en solo lectura. Trece herramientas anotadas ahorran escribir y asegurar las tuyas; no cuesta nada, pero el proyecto no ofrece soporte para producción.
Un ingeniero de seguridad que aprueba servidores MCP para 50 equipos de escritorio
Decidir si el servidor filesystem es seguro para permitirlo
Exige la 2.0.0 o posterior (las versiones anteriores a la 0.6.3 y la 2025.7.1 arrastran los CVE de escape del sandbox), permite solo carpetas de proyecto y nunca el directorio personal, y prefiere montajes Docker de solo lectura cuando los usuarios solo necesitan leer.
Antes de decidirte
- Puesta en marcha
- npx -y @modelcontextprotocol/server-filesystem /path/to/dir en la configuración de Claude Desktop, botones de instalación con un clic para VS Code o la imagen Docker mcp/filesystem. Necesita Node.js 24 o posterior para npx; las herramientas están disponibles en cuanto se reinicia el cliente.
- Integraciones
- 13 herramientas: nueve de solo lectura (read_text_file, read_media_file, read_multiple_files, list_directory, list_directory_with_sizes, directory_tree, search_files, get_file_info, list_allowed_directories) y cuatro que escriben (create_directory, write_file, edit_file, move_file). Solo local; todas las herramientas fijan openWorldHint en false.
- Datos y privacidad
- Lee y escribe cualquier cosa en los directorios permitidos con los permisos de tu usuario; nada sale de la máquina salvo lo que el cliente envía a su modelo. Los montajes ro de Docker dejan una carpeta en solo lectura. Dos avisos de gravedad alta por escape del sandbox, CVE-2025-53109 y CVE-2025-53110, se corrigieron en julio de 2025.
- Coste a escala
- Gratis y con licencia MIT. El coste de funcionamiento es el contexto: 13 definiciones de herramientas en cada petición, más los resultados de directory_tree y read_multiple_files, que pueden llenar rápido una ventana de contexto en carpetas grandes.
- Límites
- Las escrituras no son atómicas ante caídas, move_file falla si el destino existe y no hay herramienta de borrado. En clientes de 2026-07-28, Roots no puede cambiar la lista de permitidos, y un servidor arrancado sin directorios responde a todas las llamadas con un error.
Lo bueno
- Comprobación de directorios permitidos en cada llamada
- Las indicaciones de las herramientas separan las operaciones de solo lectura de las destructivas
- edit_file muestra un diff y admite ejecuciones de prueba
- Mantenido por el proyecto MCP; la 2.0.0 se publicó el 19 de octubre de 2026
Lo malo
- El proyecto MCP lo describe como referencia, no como listo para producción
- Las sobrescrituras no son atómicas ante caídas
- La 2.0.0 requiere Node.js 24 o posterior
- Redundante en agentes de programación con herramientas de archivos integradas
Ideal para
Usuarios de Claude Desktop o de agentes propios que necesitan un acceso controlado a una o dos carpetas locales.
Alternativas a Filesystem (reference server)
Filesystem (reference server): preguntas frecuentes
- ¿Merece la pena Filesystem (reference server)?
- Sigue siendo la forma más limpia de dar a una app de chat una carpeta y nada más, siempre que recuerdes que el propio proyecto MCP lo considera un ejemplo didáctico. Le damos un 4.1 sobre 5.
- ¿Cuánto cuesta Filesystem (reference server)?
- Gratis y de código abierto.
- ¿Qué inconvenientes tiene Filesystem (reference server)?
- El proyecto MCP lo describe como referencia, no como listo para producción; las sobrescrituras no son atómicas ante caídas; la 2.0.0 requiere Node.js 24 o posterior; redundante en agentes de programación con herramientas de archivos integradas.
- ¿Para quién es Filesystem (reference server)?
- Usuarios de Claude Desktop o de agentes propios que necesitan un acceso controlado a una o dos carpetas locales.
- ¿Cuánto cuesta Filesystem (reference server) para un equipo o en producción?
- Gratis y con licencia MIT. El coste de funcionamiento es el contexto: 13 definiciones de herramientas en cada petición, más los resultados de directory_tree y read_multiple_files, que pueden llenar rápido una ventana de contexto en carpetas grandes.
- ¿Es Filesystem (reference server) seguro para los datos de la empresa?
- Lee y escribe cualquier cosa en los directorios permitidos con los permisos de tu usuario; nada sale de la máquina salvo lo que el cliente envía a su modelo. Los montajes ro de Docker dejan una carpeta en solo lectura. Dos avisos de gravedad alta por escape del sandbox, CVE-2025-53109 y CVE-2025-53110, se corrigieron en julio de 2025.
- ¿Cuáles son las mejores alternativas a Filesystem (reference server)?
- Las alternativas más cercanas que hemos analizado son Git (reference server) y Memory (reference server).
Respuestas comprobadas el 22 oct 2026.