Directrices de cumplimiento de MCP

Directrices de cumplimiento para servidores MCP de UiPath, que cubren los requisitos de gobernanza y uso para UiPath y las conexiones de herramientas remotas de terceros.

Información general

Los servidores MCP de UiPath permiten a los agentes aprovechar las herramientas externas y el código a través del protocolo de contexto de modelo (MCP).

Esto incluye lo siguiente:

• UiPath: donde los clientes pueden utilizar directamente como herramientas otros componentes de UiPath, como procesos, flujos de trabajo de API, etc.
• Remoto: conectarse a servicios de terceros, ejecutar código personalizado (servidores codificados) o ejecutar comandos de script (servidores de comandos).

Aunque UiPath Platform proporciona comunicación segura y gobernanza para estas integraciones, cualquier punto final externo o código personalizado opera fuera del límite de seguridad de la plataforma principal. Esto significa que una vez que los datos o las acciones salen del entorno controlado de UiPath, el cliente asume la responsabilidad de su seguridad y cumplimiento.

En la práctica, UiPath garantiza el cifrado en tránsito y en reposo dentro de sus servicios y aplica el acceso basado en roles, pero la privacidad de los datos, la seguridad del punto final y el cumplimiento normativo para todo fuera de UiPath (servidores externos o código) siguen siendo responsabilidad del cliente.

Importante:

UiPath no gestiona tus servidores externos o código: la seguridad y la fiabilidad de esos componentes están bajo tu control. Por lo tanto, utilizar las integraciones de MCP requiere prestar mucha atención a cómo se manejan los secretos, qué puntos finales son de confianza y qué código se ejecuta, para cumplir con los requisitos de cumplimiento de tu organización.

Implicaciones de seguridad de servidores remotos, servidores codificados y servidores de comandos

Servidores remotos

Una configuración de servidor remoto define una conexión a un HTTP(S) externo de punto final (para transporte MCP StreamableHttp). La implicación de seguridad es que cualquier dato enviado o recibido de este servicio externo está fuera del control directo de UiPath. Si el servidor remoto requiere autenticación (claves de API, tokens, etc.), los usuarios pueden verse tentados a incrustar esos secretos directamente en los encabezados HTTP o las URL.

Storing secrets directly in configuration is risky – although UiPath MCP service will mask such sensitive header values in the UI and encrypt them in the database at rest, they still transit through the system and could be exposed if not handled properly.

Additionally, fields like the endpoint URL, body payload, or query parameters are not encrypted in the database, so no sensitive data should ever be put in those fields. Data leaving to an external endpoint could be intercepted or misused if the endpoint is compromised or if communications are not secure.

In short, RemoteServers extend your automation into external networks, so you must ensure those endpoints are trustworthy and that no secrets or sensitive information leak in transit.

CodedServers y CommandServers

CodedServers refer to custom code (e.g. a Python script or program) that you package and run as part of an agent, whereas CommandServers run shell commands or scripts in a serverless runtime. Both execute user-provided logic in ephemeral, serverless containers orchestrated by UiPath.

From a security perspective, this means your code runs with certain privileges within the UiPath cloud environment – notably, it runs under your organization’s context and carries an authentication token (bearer token) scoped to your org/user for calling back into UiPath services.

The primary implication is that any code you run is inherently trusted with that token and potentially other environment variables. If you run malicious or unverified code, it could steal the token or other sensitive info and perform unauthorized operations.

Untrusted code must never be used in CodedServers/CommandServers, because it could exfiltrate data or abuse the privileges granted. Even well-intentioned code could have vulnerabilities that attackers exploit to gain access. Additionally, these containers might have access to certain environment variables (for configuration, credentials, etc.), which should be considered sensitive surfaces – malicious code can read them in memory.

En resumen, ejecutar código o comandos personalizados significa que asumes los riesgos del comportamiento de ese código. Solo se debe implementar código revisado y de confianza y que debe seguir prácticas de codificación seguras.

Más allá de estos componentes específicos, el uso de MCP introduce un modelo de responsabilidad compartida: UiPath proporciona la seguridad de la plataforma (contenedores de ejecución aislados, cifrado de datos en reposo, protecciones de red y certificaciones de cumplimiento para la plataforma en cloud), pero eres responsable de la seguridad de cualquier sistema externo que te conectes y del contenido que ejecutes. Las siguientes secciones describen las prácticas recomendadas para cumplir con tu parte de esta responsabilidad.

Prácticas de seguridad recomendadas

Para utilizar las integraciones de MCP de forma segura y cumplir con los requisitos de cumplimiento, implementa las siguientes prácticas recomendadas.

1. Gestión segura de secretos (encabezados y activos de servidor remoto)

It is strongly recommended not to store sensitive secrets (API keys, tokens, credentials) directly in RemoteServer configurations. While the platform will encrypt secret header values at rest and mask them in the UI, this approach is not ideal. Secrets in configuration may still appear in logs or be inadvertently exposed, and no other fields except designated secret headers are encrypted.

Do not place sensitive data in plain text in fields like URLs, query parameters, or request bodies.

Enfoque recomendado

Utiliza activos de Orchestrator de tipo "Secreto" para gestionar claves confidenciales y haz referencia a ellas en tus encabezados de servidor remoto.

Por ejemplo:

• Una clave API puede almacenarse en un activo llamado MY_API_KEY (los activos en Orchestrator se cifran en reposo de forma predeterminada). En la configuración del encabezado de servidor remoto, la referencia del activo sirve como valor de encabezado completo, como X-Api-Key: %ASSETS/MY_API_KEY%. Si el punto final remoto espera un valor prefijado, como Bearer <token>, el valor completo puede almacenarse en el activo y referenciarse como Authorization: %ASSETS/MY_API_KEY%.
• Cuando se ejecuta el agente, Orchestrator resuelve el activo a través de la API del activo utilizando la identidad de la persona que llama y el contexto de la carpeta del servidor MCP antes de reenviar la solicitud al punto final remoto. Esto funciona sin un robot o una clave de robot, y Orchestrator aplica los permisos de activos necesarios.

De esta manera, el secreto nunca se almacena en texto plano en la configuración de servidor remoto: permanece de forma segura en el almacén de activos. La UI solo mostrará un marcador de posición enmascarado. Esta práctica ayuda a evitar la exposición accidental de secretos y se alinea con el principio de no incrustar directamente las credenciales.

En resumen: mantén los secretos fuera de tu código y configuraciones de agente. Centralízalos en almacenes seguros. Rota las claves de API regularmente y nunca incrustes secretos directamente en el código o las solicitudes HTTP.

2. Puntos finales de confianza y controles de red (configuración de servidor remoto)

Al configurar servidores remotos, conéctate solo a puntos finales externos de confianza. Cada servidor remoto debe apuntar a un dominio o servicio que tu organización haya investigado en términos de seguridad, privacidad y cumplimiento. Trata una nueva API o servicio de terceros como un proveedor: asegúrate de que cumpla con tus estándares de seguridad (por ejemplo, que tenga las certificaciones adecuadas, utilice cifrado y manipule tus datos de forma adecuada).

Usa HTTPS para todas las llamadas externas. Especifica siempre las URL https:// para que el tráfico esté cifrado en tránsito. Aplica TLS 1.2 o superior para la conexión. La plataforma se comunicará a través de TLS de forma predeterminada; como cliente, debes verificar que el punto final tenga un certificado válido y un cifrado fuerte. Nunca utilices HTTP simple para las comunicaciones de agente, ya que podría ser interceptado.

Punto clave: trata las llamadas externas como extensiones de tu entorno de TI. Verifica la seguridad del servicio externo (SSL/TLS habilitado, sin certificados autofirmados o caducados, etc.) y solo envíale datos si confías en él. Un punto final comprometido o deshonesto podría robar datos o inyectar respuestas perjudiciales, por lo que es crucial ejercer la diligencia debida en los servidores externos.

3. Ejecución segura de servidores codificados/de comando (solo código de confianza)

Para servidores codificados y servidores de comandos, la seguridad depende en gran medida del código que ejecutas. Nunca ejecutes código no fiable o de terceros sin una revisión exhaustiva. Los contenedores de agente ejecutan tu código con un token de acceso que puede llamar a las API de UiPath (y potencialmente a otras integraciones).

El código malicioso podría capturar este token al portador u otros secretos de entorno y exfiltrarlos, o realizar acciones destructivas a través de las API de la plataforma. También podría intentar explotar el runtime del contenedor, aunque los contenedores sin servidor de UiPath están aislados y no se ejecutan con privilegios elevados de forma predeterminada.

Para mitigar estos riesgos:

• Usa revisiones de código internas y la verificación de origen. Si incorporas bibliotecas de código abierto o muestras en un agente codificado, revisa ese código para detectar incidencias de seguridad (puertas traseras, lógica de exfiltración de datos, etc.). Obtén bibliotecas solo de repositorios de paquetes oficiales y de confianza.
• Escanea el código y las dependencias en busca de vulnerabilidades. Emplea pruebas estáticas de seguridad de aplicación (SAST) en tu código de agente y utiliza escáneres de vulnerabilidad de dependencias (como Dependencias de OWASP, Snyk, etc.) en cualquier paquete que utilices. Esto ayuda a detectar defectos conocidos (por ejemplo, un paquete que podría permitir la ejecución remota de código) antes de la implementación. Es recomendable realizar un escaneo continuo, ya que pueden surgir nuevas vulnerabilidades en las bibliotecas con el tiempo.
• Limita lo que puede hacer el código. Aunque el contenedor es efímero, debes codificar de forma defensiva. Por ejemplo, evita pasar entrada no validada a tu código (para evitar ataques de inyección). Esencialmente, minimiza la superficie de ataque dentro del contenedor. Idealmente, el código debería realizar solo su función prevista y nada más.
• Ten en cuenta las variables de entorno y el acceso al sistema de archivos. Supón que cualquier secreto accesible al contenedor (por ejemplo, el token de autenticación del agente u otras credenciales pasadas en las variables de entorno) pueda ser leído por tu código. No registres estos valores ni los envíes a ubicaciones externas. Además, aunque puedas tener algún almacenamiento temporal en el contenedor, no escribas información confidencial en el disco innecesariamente y, si lo haces, elimínala antes de finalizar.

En resumen, trata el entorno de ejecución de código del agente como lo harías con un servidor de producción que tenga acceso confidencial: solo ejecuta código de confianza, sigue prácticas de codificación seguras y realiza pruebas de seguridad. La plataforma de UiPath proporciona un sandbox seguro y garantiza que el código se ejecute en el contexto de tu cuenta, pero no inspecciona o sandbox la lógica de tu código a nivel granular: esa responsabilidad recae en ti.

4. Gestión de datos y privacidad

Avoid sending sensitive data to external tools unless absolutely necessary. Any data that leaves the UiPath platform to an external API or service should be considered at risk of exposure. Where possible, mask or redact personal data or regulated information before sending it to a RemoteServer*.* For instance, if an agent is summarizing customer data via an external AI API, consider removing or anonymizing identifiers in the prompt.

This practice of data minimization ensures compliance with privacy regulations (GDPR, HIPAA, etc.) by not exposing protected data to systems that might not be governed under those agreements.

If you must send sensitive information, make sure the external provider contractually guarantees data protection (e.g. the data is not stored or used for other purposes). Verify the data residency of the external service – sending data to an endpoint in another region might violate your company’s policies if not accounted for.

Always align your use of external endpoints with your organization’s compliance requirements (for example, ensure the third-party service has certifications like SOC 2, ISO 27001, or others relevant to your industry).

Within the UiPath platform, all agent activities are logged, including tool usage and data passed to tools, to the extent possible. Leverage these logs to ensure no unintended data is being sent out. Periodically review what information your agents are handling and sending externally.

If you find, for example, that an agent is including a Social Security Number in a request to a RemoteServer, consider revising the agent’s logic to hash or remove such data.

Si utilizas servidores MCP codificados/de comando, el registro cae dentro de tus responsabilidades. Nunca registres datos confidenciales como PII o información de seguridad.

También ten en cuenta los datos de salida de los servicios externos. Una IA o script externo puede devolver información confidencial (o incluso contenido malicioso). Implementa la validación en las salidas cuando sea viable. Por ejemplo, si un servidor remoto devuelve una respuesta que se utilizará en una decisión, asegúrate de que la respuesta esté en el formato y el intervalo esperados. Esto protege contra cualquier manipulación o comportamiento inesperado de los sistemas externos.

En resumen, trata las integraciones externas como parte de tus diagramas de flujo de datos para garantizar el cumplimiento: documenta qué datos salen de la plataforma y a través de qué servicio. Esto ayudará en las evaluaciones de riesgos y las auditorías. Siempre opta por compartir la cantidad mínima de Information necesaria para la tarea (principio de necesidad de saber para los datos).

5. Control de acceso

El acceso para configurar y utilizar integraciones de MCP debe estar estrictamente controlado. Solo los administradores o usuarios de confianza deberían poder crear o modificar las configuraciones de servidores remotos, servidores codificados o servidores de comandos*.* Aprovecha el control de acceso basado en roles (RBAC) de Orchestrator para restringir estas capacidades.

For example, you might have a specific role for “Agent Integrations Manager” and only assign it to members of your Center of Excellence or IT security team. This prevents ordinary automation developers or business users from inadvertently adding insecure connections or executing arbitrary code.

Every new MCP server or agent tool added should go through a review process.

When assigning roles and permissions, enforce the principle of least privilege. Define narrowly scoped roles that allow users to do only what they need for their job. For instance, if an agent only needs to read certain data or execute specific processes, ensure the account running it doesn’t have broader access to other data or administrative functions.

Avoid running Agents under a full Orchestrator admin account. Instead, use a dedicated service account with minimal rights. This way, even if an agent’s token is compromised, the potential damage is limited by that account’s scope.

Supervisa los registros de ejecución de los agentes. Se realiza un seguimiento de todo uso de herramientas por parte de los agentes y se registra de forma coherente. Al revisar estos registros, puedes detectar anomalías (por ejemplo, si un agente hace una llamada a un punto final que normalmente no hace, o si se ejecuta en momentos extraños).

Es aconsejable realizar comprobaciones de cumplimiento periódicas en las configuraciones de servicio MCP: exporta una lista de todos los servidores remotos configurados y comprueba que estén en la lista de permitidos; comprueba que no estén expuestas credenciales en ninguna descripción ni campo; comprueba que todos los servidores codificados/de comando correspondan con código que haya pasado una revisión de seguridad. Mantén un inventario de estas "herramientas de agente" similar a un inventario de activos de TI.

Por último, asegúrate de que tu plan de respuesta a incidentes cubra los escenarios de servicio de MCP. Por ejemplo, si hay una brecha en un punto final externo o se filtra una clave API, dispón de un procedimiento para revocar rápidamente ese servidor remoto o rotar la credencial. Como UiPath formará parte de tu entorno empresarial integrado, tu equipo de seguridad debe ser consciente de estas capacidades e incluirlas en los modelos de amenazas y los ejercicios de respuesta.

Al controlar el acceso, supervisar la actividad e investigar rápidamente cualquier irregularidad, mantienes tu parte del modelo de responsabilidad compartida: mantienes la seguridad y el cumplimiento de cómo se utilizan las potentes capacidades de la plataforma.

6. OAuth access for external MCP clients

UiPath MCP servers can be exposed to external MCP clients through a standards-based OAuth 2.0 flow. A client identifies itself either through Dynamic Client Registration (DCR) or a Client ID Metadata Document (CIMD) – an HTTPS URL that points to the client’s metadata.

In both cases, the client authenticates against UiPath Identity and receives a consent-gated, per-organization token scoped to the tenant the user selects, with no secret shared with or stored by the client.

This access is disabled by default and takes effect only when an administrator enables the AI Trust Layer “MCP Dynamic Client Registration / Client ID Metadata Document” toggle in Automation Cloud → Automation Ops → Governance. This toggle governs both DCR and CIMD clients and can be further restricted to an allow list of trusted callback domains.

Enabling this feature and any use of it is the customer’s own decision and responsibility. UiPath provides the capability and secures the flow within the platform but does not assume responsibility for the customer’s choice to allow external MCP clients or for how that access is subsequently used.

By design, client registration is open: both DCR and CIMD let a client supply arbitrary metadata – including any redirect URI – and registration is anonymous and global, not scoped to a tenant or organization, so anyone can register a client. Structural checks are applied to redirect URIs (HTTPS, no internal hosts), but there is no restriction on which external callback domains are accepted unless you configure the AI Trust Layer callback-domain allow list.

Registration itself grants no access to your data.

Importante:

The consent screen shown during authorization is the decisive control. Before any token is issued, the user reviews the requesting client, the callback URL, the requested scopes, and the target tenant. Users should treat this screen as the primary safeguard – read it carefully and never approve a connection blindly, particularly when the client name, callback URL, or requested scopes are unfamiliar or unexpected.

Segregación de responsabilidades (UiPath frente a cliente)

El uso de MCP implica un modelo de responsabilidad compartida entre UiPath y el cliente. La siguiente tabla resume qué aspectos de la seguridad gestiona UiPath platform y cuáles son responsabilidad del cliente:

Tabla 1. Responsabilidades de UiPath frente a responsabilidades del cliente

Área	Responsabilidad de UiPath	Responsabilidad del cliente
Seguridad de la plataforma	Infraestructura de cloud segura y aislamiento de contenedores para la ejecución de agentes. Aplicación del cifrado en tránsito (TLS) y en reposo dentro de UiPath Cloud. Control de acceso basado en roles (RBAC) y autenticación dentro de la plataforma.	Uso seguro de la plataforma. Límitar el acceso a la plataforma al personal autorizado. Configurar roles y permisos siguiendo el privilegio mínimo. Proteger los puntos finales externos a los que se conecta la plataforma (asegurarse de que tengan controles de seguridad, autenticación y certificaciones de cumplimiento adecuados). Gestionar los controles de red para que solo el tráfico aprobado fluya hacia/desde UiPath.
Gestión de credenciales	Cifrado de las credenciales almacenadas en los activos de Orchestrator o Integration Service. Los secretos en los activos están ocultos y protegidos por la plataforma. Inyección segura de credenciales en runtime (por ejemplo, sustituyendo %ASSETS/KEY%).La plataforma no guarda secretos en los registros ni en texto plano.	Almacenar y gestionar los secretos de forma responsable. Usar los almacenes seguros proporcionados (Activos, etc.): no codificar secretos en el código o las configuraciones. Rotar las credenciales externas regularmente y eliminar cualquier clave no utilizada. Si utilizas servicios de terceros, gestiona las claves de API o los tokens en ese lado (por ejemplo, revocarlos si están comprometidos). Asegúrate de que cualquier secreto expuesto a un agente (incluso temporalmente) sea tratado con cuidado por tu parte (por ejemplo, no reutilizado en otro lugar).
Entorno de ejecución	Proporciona un contenedor aislado y efímero para servidores codificados/de comando. Garantiza que cada ejecución tenga un token al portador con ámbito y no pueda afectar directamente a otros tenants o al SO del host. Registra las acciones de la herramienta de agente para la auditoría. Aplica los tiempos de espera y los límites de recurso para reducir el impacto del código ejecutable.	Seguridad e integridad del código. Implementa solamente código que sea seguro y necesario. No ejecutes código no fiable o no investigado. Valida toda la lógica personalizada y realiza pruebas de seguridad (revisiones de código, escaneos de vulnerabilidad). Eres responsable de lo que haga tu código: si elimina datos o filtra información, eres el responsable. Trata las variables de entorno y cualquier dato en el contenedor como confidencial (porque pueden contener tokens o datos privados). Remedia cualquier vulnerabilidad en tu código o bibliotecas rápidamente (la plataforma no sabrá si tu código tiene un defecto: eso debes gestionarlo tú).
Gestión de datos	Cifra todos los datos en tránsito entre los contenedores de agente y los servicios de UiPath. Proporciona registros de auditoría y supervisión de los datos que fluyen a través de la plataforma (quién ejecutó qué, cuándo y cualquier entrada/salida registrada). Admite medidas de cumplimiento como el enmascaramiento de datos, el almacenamiento seguro y las claves de cifrado gestionadas por el cliente para los datos dentro de UiPath Platform.	Protege los datos que salen de la plataforma. Determina qué datos se pueden enviar a puntos finales externos o ser procesados por código externo. Enmascara o evita enviar PII/PHI a menos que el sistema externo esté aprobado para ello. Asegúrate de que los puntos finales externos cumplan los requisitos de residencia y retención de datos (una vez que los datos salen de UiPath, su privacidad es tu responsabilidad). Implementa un cifrado adicional o una seudonimización para datos especialmente confidenciales antes de que vayan a un servicio externo.
Supervisión y respuesta	Proporciona registro centralizado, alertas y seguimientos de auditoría para las acciones en la plataforma (cambios de configuración, ejecuciones de agente, errores). Permite la integración con herramientas de SIEM a través de OpenTelemetry y otras interfaces. El soporte de UiPath puede ayudar con incidentes en el nivel de plataforma (por ejemplo, cortes de la infraestructura, uso indebido de la plataforma) y proporciona registros de auditoría para facilitar las investigaciones.	Supervisa tu uso y responde a los incidentes. Revisa periódicamente los registros de ejecución de agente y los seguimientos de auditoría para detectar anomalías. Detecta y responde a cualquier actividad sospechosa (por ejemplo, un agente que realiza llamadas externas inusuales). Si se infringe o se utiliza inadecuadamente una integración externa, depende de ti deshabilitar esa integración y gestionar el incidente en el lado externo. Planifica la recuperación de desastres y la respuesta a incidentes que impliquen sistemas externos (por ejemplo, dispón de libros de ejecución para rotar claves o cambiar puntos finales si es necesario). Cualquier informe de cumplimiento para los datos o procesos que impliquen integraciones de agente debe ser gestionado por ti (UiPath puede proporcionar datos sobre las operaciones de plataforma, pero tú informas sobre el proceso completo).

This segregation of responsibilities aligns with the general cloud shared responsibility model: UiPath secures the platform, and you must secure how you use it and any extensions of it. Make sure your internal policies cover the use of MCP – e.g., a policy that all third-party integrations must be approved by security, all custom agent code must undergo a security review, etc.

Al cumplir con estas responsabilidades, te aseguras de que tu implementación del servicio MCP cumpla con los estándares de seguridad de tu organización.

Recommended disclaimer: When using MCP Service and MCP to extend UiPath with external code or services, customers are solely responsible for securing, managing, and maintaining those external components and any data processed by them. UiPath ensures security within the platform (encryption, authentication, logging), but does not control or assume liability for data once it leaves the UiPath platform boundary.

In practice, this means you should treat external endpoints and custom code with the same rigor as any other critical part of your system. Compliance checks are not a one-time effort but an ongoing duty as you evolve your agents and integrations.