El Model Context Protocol (MCP) ha publicado su actualización de especificación más importante hasta la fecha, transformándose de un protocolo con estado bidireccional a un sistema de solicitud-respuesta optimizado diseñado para implementaciones de agentes de IA a escala de producción. La especificación 2026-07-28, anunciada el 28 de julio de 2026, marca lo que los contribuyentes del proyecto describen como la versión más importante del protocolo desde que se lanzó el MCP remoto hace más de un año.
La actualización llega cuando la adopción de MCP se ha disparado. Los SDK de nivel 1 del protocolo (TypeScript, Python, Go y C#) ahora registran cerca de 500 millones de descargas por mes, y tanto los SDK de TypeScript como Python cruzan el umbral total de mil millones de descargas. MCP se ha convertido en el sustrato de interactividad y datos predeterminado para flujos de trabajo agentes en todas las empresas, según la publicación del blog del proyecto. Para obtener más información sobre la evolución del panorama de la infraestructura de IA, consulte nuestra última cobertura de la industria de la IA.
Un núcleo de protocolo sin estado
El cambio principal es la eliminación del intercambio de protocolo de enlace inicializado/inicializado y del encabezado Mcp-Session-Id. Cada solicitud ahora viaja de forma independiente y lleva su versión de protocolo, identidad del cliente y capacidades del cliente en metadatos. La implicación práctica es significativa: cualquier solicitud ahora puede aterrizar en cualquier instancia de servidor detrás de un balanceador de carga de operación por turnos sin necesidad de almacenamiento de sesión compartido.
Una nueva llamada a procedimiento remoto (RPC) de descubrimiento/servidor opcional permite a los clientes conocer las capacidades de un servidor antes de realizar llamadas, pero no es obligatorio. Este cambio de arquitectura aborda directamente lo que el equipo de MCP identificó como una de las características más solicitadas por los desarrolladores que buscan mayor confiabilidad y escalabilidad.
Eliminar sesiones a nivel de protocolo no obliga a las aplicaciones a ser sin estado. Si un servidor necesita transmitir el estado a través de las llamadas, puede crear un identificador explícito a partir de una herramienta y hacer que el modelo de IA lo devuelva como argumento. El equipo de MCP descubrió que este enfoque funciona mejor que el estado de sesión oculto en el transporte, porque el modelo puede ver el mango y pasarlo entre las herramientas.
Las solicitudes de ida y vuelta múltiples reemplazan las transmisiones mantenidas abiertas
La especificación introduce solicitudes de ida y vuelta múltiples (MRTR), que reemplazan las solicitudes de obtención, muestreo y raíces iniciadas por el servidor que anteriormente requerían flujos bidireccionales mantenidos abiertos. Cuando una herramienta necesita información de un usuario en mitad de una llamada, como una confirmación o un parámetro faltante, el servidor devuelve un tipo de resultado "input_required" junto con las solicitudes que necesita respuesta. Luego, el cliente vuelve a intentar la llamada original con las respuestas adjuntas.
Este diseño elimina la necesidad de conexiones bidireccionales abiertas constantemente, una carga operativa importante para los equipos que ejecutan servidores MCP a escala.
Enrutamiento basado en encabezados y listas almacenables en caché
Las solicitudes HTTP que se pueden transmitir ahora deben incluir encabezados Mcp-Method y Mcp-Name, lo que permite que las puertas de enlace, los limitadores de velocidad y los firewalls de aplicaciones web enruten y midan el tráfico según los encabezados en lugar de analizar los cuerpos JSON. Este cambio alinea MCP con los patrones de puerta de enlace API estándar utilizados en toda la infraestructura empresarial.
Las respuestas de herramientas/lista, mensajes/lista, recursos/lista y recursos/lectura ahora incluyen sugerencias sobre el tiempo de vida y el alcance de la caché. Esto permite a los clientes almacenar en caché los catálogos de herramientas y mantener estables los cachés de avisos ascendentes en todas las reconexiones, lo que reduce las recuperaciones innecesarias y reduce la latencia para operaciones repetidas.
Endurecimiento de la autorización
La especificación introduce varias mejoras de seguridad extraídas de un año de comentarios de los implementadores. Los servidores de autorización ahora deben devolver el parámetro iss según RFC 9207, y los clientes deben validarlo antes de canjear un código de autorización, cerrando una vulnerabilidad de confusión del servidor de autorización. Las credenciales del cliente están vinculadas al emisor que las acuñó, lo que impide su reutilización entre servidores de autorización.
El registro dinámico de clientes (DCR), si bien sigue siendo funcional para la compatibilidad con versiones anteriores, ahora está formalmente obsoleto en favor de los documentos de metadatos de ID de cliente (CIMD). El equipo de MCP describió esto como una medida de refuerzo para que el protocolo cumpla con los requisitos de la especificación OAuth.
Marco de extensiones formales y obsolescencias
Las tareas han pasado del estado experimental a una extensión formal, uniéndose a otras extensiones como MCP Apps y Enterprise Managed Authorization. Un mecanismo de obtención/tareas basado en encuestas y un nuevo mecanismo de tareas/actualización reemplazan el punto final HTTP GET anterior, con notificaciones de cambios consolidadas en una única secuencia de suscripciones/escucha.
Roots, Sampling y Logging han quedado obsoletos con una ventana mínima de desuso de doce meses, lo que les da a los desarrolladores tiempo para planificar las migraciones. El transporte HTTP+SSE heredado también está oficialmente obsoleto con una salida de salida de un año de duración. Se recomienda que las nuevas implementaciones no adopten estas características.
Los cuatro SDK de nivel 1 (TypeScript, Python, Go y C#) ahora son compatibles con la especificación 2026-07-28, y el SDK de Rust la admite en versión beta. Los SDK incluyen notas de migración detalladas para los cambios importantes, particularmente para los desarrolladores que dependían de los identificadores de sesión.
Recepción de la industria
El lanzamiento atrajo mucha atención en los foros de desarrolladores y fue tendencia en Hacker News con más de 100 puntos. David Soria Parra, miembro del personal técnico de MCP y coinventor del protocolo, lo calificó como la señal más clara hasta el momento de que MCP se está convirtiendo en una infraestructura real de grado de producción.
"Los cambios más grandes son radicales, y la comunidad ha elegido hacer el trabajo duro en lugar de tapar las brechas", escribió Soria Parra. "Este es un protocolo que crece en tiempo real en torno a lo que los equipos de producción realmente necesitan".
La actualización indica que MCP, que se originó como un proyecto de código abierto para estandarizar cómo los modelos de IA acceden a herramientas y datos externos, está madurando hasta convertirse en una infraestructura fundamental para la era de la IA agente. Con 500 millones de descargas mensuales y extensiones formales para implementación empresarial, el protocolo se está posicionando como el tejido conectivo entre los modelos de IA y los sistemas con los que necesitan interactuar.
