Tu agente de IA puede tocar una app como Todoist por dos caminos. Uno es el CLI, la puerta de comandos que la app ya traía y que el agente usa desde una terminal. El otro es un conector, el botón «Conectar» de tu chat, que por debajo suele ser un servidor MCP.
En el video del MCP lo cuento con manos y guantes, y conecto Todoist en vivo. Aquí va lo que no cupo: la regla para elegir según dónde trabajes, lo que ocupa cada camino en la memoria del agente, los riesgos con nombre y fecha, y lo que un conector no puede hacer.
El resumen, en tres líneas:
- Si tu agente corre en tu computadora y la app tiene un buen CLI, usa el CLI. Ocupa menos memoria y se repite igual cada semana.
- Si usas la IA desde el chat de la web o del teléfono, o la app no tiene CLI, usa el conector. En esos chats el agente no tiene terminal.
- Un conector actúa con tus permisos, y lo que lee puede traer órdenes de otra persona. Conecta el oficial, sólo lo que usas, y que te pida permiso antes de escribir.
¿En qué se diferencian un MCP y un CLI?
Los dos envuelven lo mismo: la forma que tiene la app de dejar que otros programas lean y cambien tus datos. Lo que cambia es cómo le habla el agente.
Con un CLI, el agente escribe un comando en una terminal y lee el texto que sale. Con un MCP, la app del agente le pide al servidor la lista de herramientas, cada una con su formulario, y después las llama. Así lo describe la especificación del MCP.
MCP quiere decir Model Context Protocol. Lo lanzó Anthropic en noviembre de 2024, y desde diciembre de 2025 lo cuida la Agentic AI Foundation, dentro de la Linux Foundation. Si el CLI te suena nuevo, el video del CLI lo explica desde cero, con Todoist:
¿Cuándo conviene un MCP y cuándo un CLI?
La regla cambia según dónde trabaje tu agente y qué ofrezca la app. Cada fila sale de la documentación de quien hace el producto, salvo dos: la de repetir, que es la opinión de un crítico del MCP, y la última, que es mía.
| Tu caso | Camino | Por qué |
|---|---|---|
| Usas el chat de Claude en la web o en el teléfono | Conector | Ahí no hay terminal: la app del teléfono sólo usa conectores remotos |
| Tu agente trabaja en tu computadora y la app tiene CLI | CLI | Anthropic los llama «the most context-efficient way» de usar un servicio externo |
| La app no tiene un CLI para usarla, como Slack | Conector | El CLI de Slack sirve para construir apps; para tus mensajes está su servidor MCP oficial |
| Quieres entrar con tu cuenta, elegir qué puede hacer y quitarlo con un botón | Conector remoto | Inicias sesión en la app y eliges herramienta por herramienta |
| Quieres encadenar pasos o repetir lo mismo cada lunes | CLI | Los comandos se encadenan y se repiten igual, según Eric Holmes |
| Una tarea suelta | La app, a mano | Abrirla y escribirla es más rápido que pedírselo a nadie |
Los críticos llegan al mismo sitio. Holmes tituló su texto «MCP is dead» y, dentro, le deja lugar al MCP cuando no hay CLI. Quandri, que midió el MCP como más caro, lo sigue usando para Slack y Notion, y lo recomienda cuando quien lo usa no programa.
Un fabricante que tenía los dos caminos lo dejó por escrito. Unity retiró el MCP de su editor porque el CLI es más rápido y gasta menos, y conservó el MCP para un caso:
«For agents that can’t run shell commands»: para los agentes que no pueden ejecutar comandos.
Un detalle sobre Cowork, de la app de escritorio de Claude: ejecuta comandos, pero en una máquina virtual aislada o en servidores de Anthropic. Esa terminal no es la de tu computadora, así que no ve los CLI que tienes instalados.
¿Dónde funciona cada uno: web, teléfono o escritorio?
La línea está entre el chat que corre en internet y el agente que corre en tu computadora. Esto dice la documentación de cada producto:
| Dónde usas la IA | Conectores (MCP) | CLI en tu computadora |
|---|---|---|
| Claude en la web | Remotos | No |
| Claude en el teléfono | Sólo remotos | No |
| Claude de escritorio, en el chat | Remotos, y locales instalados como extensión | No |
| Claude de escritorio, pestaña Code | Sí | Sí, con terminal |
| Claude Code | Sí, también los que agregaste en claude.ai | Sí |
| ChatGPT en la web | Plugins con MCP remoto | No |
| ChatGPT de escritorio | También servidores locales, con la configuración de Codex | Sin dato |
| Gemini en Google Workspace | Conectores de terceros por MCP | Sin dato |
«Sin dato» quiere decir que la documentación no lo dice. Las fuentes: conectores de Claude, la pestaña Code, ChatGPT y Gemini en Workspace.
¿Cuánta memoria del agente ocupa un conector?
Todo lo que el agente lee tiene que caber en su contexto, su memoria de trabajo. Cuanto más llena está, más lento y más caro trabaja. Un conector ocupa sitio por dos razones: por tenerlo puesto y por usarlo.
Tenerlo puesto pesaba mucho cuando los clientes cargaban de entrada la descripción de todas las herramientas. Estas son las cifras publicadas, en tokens, que son trozos de palabra:
| Caso | Tokens | Quién lo midió |
|---|---|---|
| 58 herramientas en cinco servidores, todas cargadas | unos 55.000 | Anthropic |
| Las mismas, buscadas sólo cuando hacen falta | unos 8.700 | Anthropic |
| 77 herramientas en cuatro servidores | unos 21.000 (el 10,5 % de una ventana de 200.000) | Quandri |
Hoy Claude Code difiere las herramientas por defecto: al arrancar sólo carga sus nombres y las instrucciones de cada servidor, y la descripción completa entra cuando el agente usa la herramienta. Lo dice su documentación, y lo comprobé.
Del uso no se libra ningún camino. Lo que devuelve una herramienta entra en la memoria, igual que el manual y la salida de un comando del CLI (guía de Claude Code). Claude Code avisa cuando la respuesta de un conector pasa de 10.000 tokens y la corta en 25.000 si no cambias el límite (documentación).
Por eso los fabricantes recortan el menú. Doist tiene una prueba automática que suma lo que pesa la lista de herramientas de su MCP de Todoist y falla si pasa de 35.000 tokens. El comentario del código dice que ese tope debe bajar con el tiempo.
¿Cuánto más caro sale un MCP que un CLI? Las dos mediciones publicadas que encontré no se ponen de acuerdo, porque miden cosas distintas:
- Quandri, una consulta suelta a Linear: por MCP le costó 65 veces más que por CLI.
- Checkly, una tarea completa: entre 48.000 y 50.000 tokens por MCP, y entre 45.000 y 48.000 por CLI. En sus palabras, «no big difference».
Una consulta suelta y una tarea entera son preguntas distintas, y cada medición es de un solo caso. Para el tuyo, la medida que vale es la tuya: en Claude Code, /context all enseña cuántos tokens ocupa cada herramienta (documentación).
Con las herramientas diferidas, tener el conector puesto cuesta poco. Usarlo cuesta en los dos caminos.
¿Qué riesgos tiene conectar tu agente a tus apps?
Un conector le da permiso a tu agente para leer tus datos y, según los permisos de tu cuenta, cambiarlos. La ayuda de Claude lo resume en una línea: «Only connect services you trust and need». Y avisa que los conectores personalizados no los verifica Anthropic.
Slack lo cuenta desde su lado. Su conector actúa con los permisos de quien inicia sesión, el administrador del espacio de trabajo aprueba la integración y todo lo que hace queda en el registro de auditoría.
Lo que lee puede darle órdenes
El riesgo que menos se ve entra por el mismo conector. Un conector trae texto: un mensaje, un correo, un comentario. Si ese texto lo escribió otra persona, puede intentar darle órdenes a tu agente. A eso se le llama inyección de instrucciones.
Simon Willison le puso nombre a la mezcla peligrosa, la trifecta letal: un agente que lee tus datos privados, que lee texto controlado por alguien de fuera y que puede mandar información hacia afuera. Con las tres juntas, se le puede engañar para sacar tus datos. Con varios conectores puestos, juntarlas es fácil.
Lo que ya pasó
Hay casos publicados, con fecha y dueño:
| Cuándo | Qué pasó | Fuente |
|---|---|---|
| Mayo de 2025 | Un issue público en GitHub con instrucciones escondidas llevó a un agente, a través del MCP oficial de GitHub, a sacar datos de repositorios privados | Invariant Labs |
| Junio de 2025 | Un fallo del servidor MCP de Asana pudo mostrar datos de una organización a otra, a unos 1.000 clientes. Lo apagaron del 5 al 17 de junio | The Register |
| Julio de 2025 | Knostic encontró 1.862 servidores MCP expuestos en internet; los 119 que revisó a mano mostraban sus herramientas sin pedir inicio de sesión | Knostic |
| Septiembre de 2025 | Un paquete falso, postmark-mcp, imitaba al de Postmark y mandaba copia oculta de cada correo a un tercero | The Hacker News |
Los casos vienen de paquetes falsos instalados en la computadora, de servidores con fallos o abiertos sin inicio de sesión, y de texto ajeno que el agente obedeció. Usar el conector oficial de la app, remoto y con inicio de sesión, quita el riesgo del paquete falso. Los otros siguen ahí.
El conector oficial te ahorra instalar código ajeno. No te ahorra leer texto ajeno.
¿Y el CLI es más seguro?
Depende de dónde mires. Con un CLI, el agente usa una terminal, y desde ahí puede hacer lo que tu usuario puede hacer en la computadora. Por eso Claude Code pide permiso antes de cada comando que no sea de sólo lectura. De ese permiso trata los permisos: el volante es tuyo.
La ventaja de la llave es del conector remoto. Ahí inicias sesión en la página de la app, y la especificación prohíbe pedir claves o pagos en un formulario dentro del chat.
Un servidor MCP instalado en tu computadora, en cambio, lee su clave del entorno, igual que un CLI. Cómo se guarda bien una clave está en variables de entorno y API keys, sin llorar.
¿Cómo conectar una app a tu IA con cuidado?
Cinco costumbres que salen de lo de arriba, para antes y después de conectar algo:
- Usa el conector oficial. Desde el directorio de Claude, o con la dirección que publica la propia app en su ayuda. El primer servidor MCP malicioso que se vio en uso real imitaba a uno legítimo.
- Lee qué pide antes de aceptar. La página de inicio de sesión es de la app, y ahí dice qué va a poder tocar tu agente.
- Deja con aprobación lo que escribe, envía o borra. En Claude, cada herramienta de un conector se puede poner en «Always allow», «Needs approval» o «Blocked».
- Mira las tres patas de la trifecta. Si un agente lee correos de desconocidos y además puede enviar, que te pida permiso antes de enviar.
- Quita lo que ya no usas. En Claude, con «Disconnect» en la página del conector. Todoist, además, permite revocar el acceso desde su lado, en Configuración → Integraciones, según su ayuda.
¿Cómo conecto una app sin saber programar?
En el video conecto Todoist desde el directorio de Claude, con un clic y el inicio de sesión de Todoist. Es el camino corto. Hay otros dos, y cada uno tiene su límite:
| Camino | Qué haces | Qué pide |
|---|---|---|
| Directorio de conectores | Eliges la app y le das a conectar | Está en todos los planes de Claude (ayuda de Claude); el de Todoist sirve «on any plan» (ayuda de Todoist) |
| Conector personalizado | Pegas la dirección del servidor MCP que publica la app, como https://ai.todoist.net/mcp | En el plan gratis, uno como máximo, y Anthropic no lo revisa (ayuda de Claude) |
| Claude Code | claude mcp add --transport http todoist https://ai.todoist.net/mcp y después /mcp para iniciar sesión | Una terminal (ayuda de Todoist) |
Para el tercero hace falta un agente en tu computadora; si aún no lo tienes, empieza por instalar tu primer agente. Y ahí mismo, Todoist recomienda su CLI antes que su MCP.
Con Slack queda una duda abierta. Su documentación dice que basta con agregarlo desde los conectores de Claude, con la aprobación del administrador del espacio de trabajo. Una página de Anthropic, escrita para la app anterior de Claude en Slack, dice que es de los planes Team y Enterprise. No lo he comprobado con un plan personal.
En otros chats cambia el nombre y la pieza sigue siendo la misma. ChatGPT los llama plugins: «A plugin packages an MCP connection». Gemini, dentro de Google Workspace, se conecta a apps como Asana o HubSpot por MCP.
¿Qué no puede hacer un conector?
Un conector no puede más que la app. Si la app sólo deja leer a otros programas, el conector sólo lee. Lo explica TechWorld with Nana. Y a veces puede menos: el conector de Trello archiva tarjetas y listas, pero no las borra para siempre.
El menú de herramientas se recorta en tres sitios:
- El fabricante elige qué herramientas pone, porque cada una ocupa memoria. La guía de Doist pide herramientas de flujo en vez de una por cada función de la API.
- Quien administra la cuenta. En una conexión de Notion para un espacio de trabajo sólo aparecen las herramientas que eligió un administrador.
- La app desde la que lo usas. En Claude Code, una organización puede bloquear una herramienta, y el agente nunca la ve.
Este es el recorte de Todoist, comparando su conector con su CLI, que se llama td. Lo revisé en el código de los dos el 18 de octubre de 2026; cambia cada pocas semanas.
| Acción | CLI (td) | Conector MCP |
|---|---|---|
| Crear, completar, mover y reprogramar tareas | Sí | Sí |
| Activar el modo vacaciones | Sí | Sólo ve si está activado |
| Bajar un respaldo | Sí | No |
| Cambiar ajustes: zona horaria, tema, formato de fecha | Sí | No |
| Aceptar o rechazar invitaciones | Sí | No |
| Mostrar una ventana dentro del chat | No | Sí |
| Varias tareas en una sola llamada, con vuelta atrás si falla una | No | Sí |
Lo del día a día está en los dos lados. Al conector le faltan los bordes de la cuenta. Las fuentes: el código del MCP, el del CLI y la ayuda de td en mi computadora.
Stripe lo deja todavía más a la vista. Su conector llega a la API con dos herramientas genéricas, pero sólo a los métodos de una lista pública. En ella está «Delete a coupon» y no está «Delete a customer»: borrar un cliente queda fuera.
Y hay casos al revés. En Notion, el conector trae cosas que su API pública no ofrece, como buscar con la IA de Notion o leer las notas de reuniones (lista oficial).
El fabricante elige qué herramientas tiene el conector, y quien te lo presta puede quitarle otras.
¿Qué queda sin comprobar?
Preguntas que me hice al preparar el video y que ninguna fuente contesta todavía:
- Si conectar una app gasta más del límite de mensajes de tu plan de Claude.
- Quién ve tus tareas o tus mensajes cuando pasan por un conector. Eso lo dice la política de privacidad de cada app, y no la revisé.
- Si Anthropic revisa los conectores del directorio. Su ayuda sólo dice que los personalizados no los verifica.
- Qué plan de Claude pide el conector de Slack, por las dos páginas que se contradicen.
- Qué plan de ChatGPT hace falta para un MCP propio que escriba: la ayuda de OpenAI no abrió y las guías de terceros no coinciden.
Preguntas frecuentes sobre MCP y CLI
Un MCP (Model Context Protocol) es un estándar abierto para que una aplicación de inteligencia artificial use apps y datos de fuera. Cada app publica su servidor MCP, y tu agente lo usa cuando le das al botón «Conectar» de tu chat. Lo creó Anthropic en noviembre de 2024 y desde diciembre de 2025 lo cuida la Linux Foundation.
Depende de dónde trabaje tu agente. Si corre en tu computadora y la app tiene un buen CLI, el CLI ocupa menos memoria y se encadena con otros comandos. Si usas la IA desde el chat de la web o del teléfono, o la app no tiene CLI, el camino es el conector MCP.
Con un conector remoto inicias sesión en la página de la propia app, y la contraseña no pasa por el chat. La especificación del MCP prohíbe pedir claves o pagos en un formulario dentro del chat. Un servidor MCP instalado en tu computadora, en cambio, lee su clave de la configuración, igual que un CLI.
No. El chat de Claude en el teléfono y en la web no ejecuta comandos en tu computadora, así que sólo usa conectores remotos. El CLI funciona donde el agente tiene terminal, como Claude Code o la pestaña Code de la app de escritorio.
Los del directorio de conectores están en todos los planes, también el gratis. Los personalizados, que se agregan pegando la dirección de un servidor MCP, funcionan en el plan gratis con un máximo de uno.
Tiene riesgos que se pueden reducir. El conector actúa con tus permisos, y un texto ajeno que lea, como un correo, puede intentar darle órdenes a tu agente. Conecta el conector oficial de la app y sólo lo que usas, deja con aprobación lo que escribe o envía, y desconecta lo que ya no uses.
