Análisis Frameworks de agentes y automatización
El estado de los servidores MCP, cuarto trimestre de 2026: casi todos alojados, casi todos de un solo editor
Por Sheela ·
El registro de MCP se ha convertido en un directorio de endpoints alojados de editores que publican un único servidor, y la mayoría de sus entradas cambiaron en los últimos 90 días. Nuestros 78 análisis apuntan a una segunda conclusión que el registro no puede mostrar: los riesgos están en los valores por defecto, con la telemetría activada, el acceso de escritura abierto y docenas de herramientas cargadas en el contexto del modelo.
Esta es la primera edición de un estudio trimestral. Se actualizará en esta dirección cada trimestre con el mismo método, para que las cifras se puedan comparar a lo largo del tiempo.
Qué contamos
Las entradas se recogieron del registro oficial de MCP (su API pública) el 22 de octubre de 2026. Conservamos la última versión activa de cada servidor que tiene descripción y una dirección https, y descartamos las entradas que duplican uno de nuestros análisis. Quedaron 7.367 servidores. Todas las cifras de abajo salen de scripts/study-mcp.js, que lee esas entradas y nuestros archivos de análisis e imprime los números; la edición del próximo trimestre ejecuta el mismo script.
Una limitación condiciona todo lo que sigue. El registro devuelve los servidores por orden de espacio de nombres, y nuestro recolector se detuvo tras 20.000 registros, en los espacios de nombres que empiezan por com.hem. Así que esta edición cubre todos los espacios de nombres desde ac. hasta com.hem y ninguno posterior, incluido io.github.*, que usan los desarrolladores cuando se verifican mediante una cuenta de GitHub en lugar de un dominio. Toma los porcentajes como descripción de ese tramo. La edición del primer trimestre de 2027 cubrirá todo el registro, y se informará de la diferencia.
Casi todos alojados, casi todos de editores con un solo servidor
De los 7.367 servidores, 6.875 (93,3%) indican un endpoint alojado y 492 (6,7%) son paquetes que ejecutas tú. Solo 2.865 (38,9%) enlazan un repositorio de código, así que para la mayoría de las entradas no hay código que leer. La proporción de alojados puede estar sobrestimada. Los espacios de nombres verificados con GitHub que nos faltaron son donde publican los desarrolladores individuales, y un desarrollador tiene más probabilidades de publicar un paquete que de mantener un servidor; el recuento completo del próximo trimestre lo aclarará.
La publicación está muy repartida. El tramo tiene 5.855 editores, y 5.568 de ellos (95,1%) publican exactamente un servidor; esas entradas únicas suponen el 75,6% de todas las entradas. Los diez editores más grandes suman 763 servidores, el 10,4%. No son las empresas que cabría esperar. Smithery, un servicio de alojamiento, publica 211 servidores cuyas entradas en el registro se actualizaron por última vez entre septiembre de 2025 y enero de 2026. Los 125 servidores de pagos y facturación país por país de Wishpool se actualizaron todos por última vez en los mismos tres días de julio de 2026. A2AWire publica 119 servidores para pagos y mensajería entre agentes, y getvda publica 95 con nombres genéricos como "Auth Token MCP Service".
El registro se mueve deprisa. 3.049 entradas (41,4%) se actualizaron en octubre, hasta el día 22, y 3.643 (49,5%) en los 30 días anteriores a la recogida. 5.743 (78,0%) cambiaron en los últimos 90 días, y solo 248 (3,4%) llevan más de un año sin tocarse; las más antiguas son de septiembre de 2025, cuando abrió el registro. Una fecha de actualización mide la actividad en el registro, no el mantenimiento. Publicar una versión nueva la renueva, y una republicación masiva renueva cientos de entradas a la vez sin que nadie corrija un fallo.
Categorías
Clasificamos las entradas en nuestras diez categorías de MCP con reglas de palabras clave aplicadas al nombre y la descripción de cada servidor. Casi la mitad no encaja en ninguna regla, lo que dice tanto de lo vagamente que se describen los servidores como de nuestras reglas.
| Categoría | Servidores | Porcentaje | Alojados |
|---|---|---|---|
| Sin clasificar | 3.463 | 47,0% | 94,2% |
| Búsqueda y conocimiento | 883 | 12,0% | 95,1% |
| Finanzas y comercio | 737 | 10,0% | 95,4% |
| Desarrollo | 610 | 8,3% | 86,1% |
| Diseño y medios | 548 | 7,4% | 92,2% |
| Productividad | 365 | 5,0% | 94,2% |
| Comunicación | 271 | 3,7% | 95,6% |
| Nube e infraestructura | 222 | 3,0% | 91,4% |
| Navegador y web | 140 | 1,9% | 87,9% |
| Datos y bases de datos | 128 | 1,7% | 85,9% |
Que finanzas y comercio superen a las herramientas de desarrollo es la sorpresa. En parte se debe a los pagos entre agentes: 355 entradas (4,8%) mencionan x402, USDC, criptomonedas, blockchain, un monedero o stablecoins. Las categorías donde resisten los paquetes locales, herramientas de desarrollo y bases de datos, son aquellas en las que el servidor necesita tus archivos o tu red.
Lo que muestran los 78 servidores analizados
Nuestros análisis no son una muestra aleatoria. Elegimos servidores muy usados o que hacen algo distintivo, así que se inclinan hacia proveedores consolidados: 57 están hechos por el proveedor (73,1%), 14 vienen de la comunidad y 7 son los servidores de referencia que todavía se mantienen en el repositorio del propio proyecto MCP. También son locales con más frecuencia que el tramo del registro: 41 ofrecen tanto un transporte local como uno alojado, 23 son solo alojados y 14 solo funcionan en tu máquina.
| Autenticación | Servidores analizados |
|---|---|
| Ofrece OAuth | 40 (51,3%) |
| No necesaria para el uso básico | 25 (32,1%) |
| Solo clave de API, token o credenciales | 13 (16,7%) |
OAuth se ha convertido en la norma para los servidores alojados. Los 23 servidores solo alojados lo ofrecen, y también 38 de los 57 servidores de proveedores. Los 25 que no necesitan autenticación pueden ejecutarse en tu propia máquina, e incluyen los siete servidores de referencia, como Filesystem y Git.
Los avisos de seguridad se concentran en los modos HTTP locales y en las salvaguardas
Once análisis citan avisos de seguridad publicados. Los peores no están en servidores alojados. Todoist tuvo un fallo crítico de DNS rebinding en su servidor HTTP local opcional, de modo que un sitio web malicioso podía escribir y borrar tareas a través de él. n8n-mcp acumula 15 avisos desde mayo de 2026, uno crítico, la mayoría en su modo HTTP multiinquilino, y Serena tuvo tres en 2026 que terminaban cada uno en ejecución de código. Dos rompieron el propio interruptor de seguridad: el modo de solo lectura de DBHub se podía eludir en MySQL y MariaDB, y el repositorio awslabs que hay detrás de los servidores más antiguos de AWS publicó en septiembre de 2026 una elusión crítica del modo de solo lectura en su servidor de Postgres.
La telemetría suele estar activada hasta que la desactivas
Diez análisis encontraron telemetría o informes de uso activados por defecto, entre ellos Azure, MongoDB, Chrome DevTools y Grafana. Dos van más allá de los recuentos de uso. Las versiones publicadas de Shopify envían eventos de uso que pueden incluir las entradas de las herramientas, y n8n-mcp recoge estructuras de flujos de trabajo saneadas para entrenar modelos de generación de flujos. El README de Blender MCP dice que la telemetría es opcional, pero por defecto se envía un registro de uso anónimo.
Existen modos de solo lectura, con condiciones
Catorce análisis documentan un interruptor de solo lectura, y cinco dicen que el servidor no tiene ninguno: Asana, Cloudflare, Heroku, PayPal y Redis, cuyo README remite en su lugar a un usuario de base de datos de solo lectura. Los interruptores que existen suelen venir con condiciones. El modo de solo lectura de AWS solo funciona a través de su proxy SigV4, no con OAuth. La opción de monday.com está documentada solo para el servidor local y no se puede combinar con sus herramientas dinámicas. Linear y Supabase lo hacen bien, con un endpoint dedicado de solo lectura y un usuario de Postgres de solo lectura, respectivamente.
El número de herramientas no deja de crecer
De los 26 análisis que indican un número de herramientas, 14 lo sitúan en 40 o más. Vercel documenta 248 herramientas, Grafana 129, Neon 119 sin filtrar y GitHub 93. Cada descripción de herramienta consume contexto en cada petición, y los proveedores lo saben: GitHub carga cinco conjuntos de herramientas por defecto, y el modo de código de Cloudflare sustituye unas 2.500 herramientas por cuatro.
Los servidores locales se archivan en favor de los alojados
El proyecto MCP ha trasladado a un archivo sus servidores de referencia de GitHub, Postgres y Slack, y deja siete en el repositorio principal; el propio servidor de GitHub sustituyó al primero. Los proveedores hacen lo mismo. ElevenLabs archivó su servidor local en agosto de 2026 en favor del alojado, y Browserbase archivó su repositorio en julio de 2026 mientras su servidor alojado sigue documentado. Las guías que te dicen que instales los paquetes antiguos están ahora desactualizadas.
Lo que las entradas no pueden decirte
Una entrada en el registro demuestra que alguien controla un espacio de nombres y ha rellenado un formulario. No muestra si el servidor funciona, quién lo usa, cuántas herramientas registra, qué recoge ni si su endpoint alojado responde. No tiene recuentos de instalaciones. El registro no recoge la autenticación en absoluto, y por eso las conclusiones de arriba sobre autenticación, telemetría y solo lectura proceden únicamente de los 78 servidores que analizamos a partir de su documentación, su código y sus avisos. Ninguna de estas cifras sale de ejecutar los servidores.
Para elegir un servidor, las entradas son un punto de partida y los análisis son donde están las contrapartidas. Nuestra guía de servidores MCP que merece la pena instalar cubre aquellos por los que empezaríamos.