Frameworks, protocolos y tooling

Una herramienta empieza a servir cuando sabés qué querés observar. Para PhiloCorp, medir una respuesta desviada, revisar un artefacto y comprobar una autorización son trabajos distintos. Este catálogo relaciona esas capacidades con marcos y herramientas de referencia. Antes de usar una opción, registrá su versión, configuración y qué parte de la prueba puede ejecutar.

Marcos y estándares

Regla de etiquetado: declará siempre la edición al clasificar un hallazgo. La edición 2026 del LLM Top 10 renumeró categorías: LLM06:2025 Excessive Agency es LLM03:2026, y LLM08:2025 Vector and Embedding Weaknesses es LLM09:2026. No presentes OWASP MCP v0.1 beta ni Agentic Skills v1 en revisión pública como estándares finales.

Protocolos

Nota de versionado MCP: la guía de sesiones (Mcp-Session-Id no predecible ligado al sujeto) aplica solo a 2025-11-25 y anteriores. Desde 2026-07-28 no hay sesiones a nivel de protocolo: un handle de estado no demuestra identidad. Si hay identidad autenticada, ligalo del lado servidor al sujeto verificado. Sin autenticación, quien posee el handle puede usarlo como una capacidad al portador: necesitás entropía suficiente, vencimiento y límites sobre el estado accesible.

Tres significados distintos de skill

No uses estos términos como sinónimos. Una skill empaquetada puede llamar tools MCP; un AgentSkill puede anunciar una capacidad A2A; y Skills over MCP propone un canal de distribución, no un nuevo modelo de autorización.

Selección por capacidad

Elegí herramientas según el test, el entorno y la evidencia requerida. Ninguna combinación cubre por sí sola un sistema de IA completo.

Los nombres anteriores son puntos de partida. El procedimiento debe seguir funcionando si se reemplaza una herramienta por otra con la misma capacidad. Confirmá también qué datos envía cada scanner fuera del entorno: un análisis de metadata y una prueba dinámica producen evidencias distintas.

Benchmarks y papers primarios

Las investigaciones siguientes aportan técnicas y diseños experimentales. Sus métricas pertenecen al modelo, corpus y acceso evaluados por sus autores; no son tasas esperadas para PhiloCorp. La bibliografía concentra las fuentes y los capítulos explican sus límites:

• AgentDojo (arXiv 2406.13352), evaluación de agentes con tool use.
• LivePI (arXiv 2605.17986), benchmarking realista de inyección indirecta contra agentes.
• JailbreakBench (arXiv 2404.01318) y HarmBench (arXiv 2402.04249), benchmarks de jailbreak.
• Morris II / ComPromptMized (arXiv 2403.02817), gusano autorreplicante sobre RAG (base del capstone A).
• PoisonedRAG (USENIX Security 2025), corrupción del corpus para dirigir respuestas de un RAG.
• AgentPoison (arXiv 2407.12784), poisoning de memoria o bases de conocimiento de agentes.
• MINJA (arXiv 2503.03704), inyección de memoria solo por queries.
• MCPTox (arXiv 2508.14925), benchmark de tool poisoning contra servidores MCP reales.
• Vec2Text (arXiv 2310.06816), reconstrucción desde embeddings bajo condiciones definidas.
• Language Model Inversion (arXiv 2311.13647), reconstrucción del prompt a partir de distribuciones de salida del modelo.
• Shokri et al. (arXiv 1610.05820) y LiRA (arXiv 2112.03570), membership inference clásico y estándar moderno.
• Knockoff Nets (arXiv 1812.02766), extracción funcional black-box.
• Madry et al. (arXiv 1706.06083) y AutoAttack (arXiv 2003.01690), entrenamiento robusto y su evaluación estándar.
• GCG (arXiv 2307.15043), sufijos adversariales universales en LLMs.
• BadNets (arXiv 1708.06733) y Sleeper Agents (arXiv 2401.05566), backdoors clásicos y persistentes.
• GTG-1002 (Anthropic, nov-2025), campaña con uso de agentes y grado de automatización reportado por el proveedor.
• EchoLeak, CVE-2025-32711, inyección indirecta zero-click.
• MCP Security Best Practices, guía oficial de seguridad MCP.
• Skills Over MCP Working Group, estado y alcance de SEP-2640.
• SEP-2640 Skills Extension, borrador en revisión de la convención skill://.