Llamadas y resultados de herramientas, revisados en el borde.

Se revisa

• inspect_requestsDel cliente al servidor: los argumentos de tools/call y prompts/get y los parámetros de resources/read.
• inspect_responsesDel servidor al cliente: todas las cadenas de result y error de las respuestas a peticiones con id, también las descripciones de tools/list, y los params de las peticiones del propio servidor (sampling/createMessage, elicitation/create).

Familias de detectores

• pi.*Anulación de instrucciones, extracción del prompt de sistema, jailbreaks, mensajes de sistema, llamadas a herramientas y turnos falsificados, saltarse la aprobación, órdenes en comentarios HTML o en texto codificado.
• agent.*Órdenes destructivas como rm -rf / o DROP TABLE.
• exfil.*Scripts remotos a una shell, recolección de secretos, exfiltración por una imagen o un enlace.
• hidden.*Caracteres de ancho cero, etiquetas Unicode, texto oculto con CSS.
• dlp.*Claves de AWS, GitHub, Stripe, Slack, SendGrid, Mailgun, OpenAI, Anthropic y OpenWAF, claves privadas y URL de bases de datos, guardadas recortadas a sus cuatro primeros caracteres.
• mcp.*La política: método no permitido, herramienta denegada o no permitida, ritmo, JSON ilegible, petición no válida, cuerpo demasiado grande.

Los mismos 27 detectores de inyección que la protección de endpoints de IA de OpenWAF, en inglés y en español. Cada uno solo se ejecuta si aparece alguna de sus palabras clave.

No se revisa

• Lo que ningún patrón describe: paráfrasis, otros idiomas y codificaciones que los detectores no cubren. No hay clasificador semántico ni modelo de lenguaje.
• El contenido de las notificaciones, en ninguna de las dos direcciones. Las del cliente sí pasan por los métodos permitidos.
• Las respuestas del cliente a sampling/createMessage y elicitation/create. Esas peticiones del servidor sí se revisan, pero solo se registran; nunca se sustituyen.
• Las respuestas JSON y los eventos SSE de más de 2 MiB, y las respuestas que siguen llegando comprimidas. Pasan tal cual y se cuentan como no revisadas.
• Los cuerpos de más de max_request_kb en modo registro (en modo aplicar reciben un 413).
• Los parámetros de otros métodos, como completion/complete, logging/setLevel y los métodos de listado.
• Las cabeceras y la query string. Las URI de los recursos y los nombres de los prompts no tienen lista de permitidos ni de denegados.
• El propio token: MCP Shield nunca lo valida; lo valida tu servidor.

Cada respuesta en modo aplicar

• 200 · -32601Método fuera de los permitidos
• 200 · -32602Herramienta denegada, o fuera de una lista de permitidas no vacía
• 200 · -32001Inyección o credencial en la petición, con la revisión de peticiones en block
• -32001Inyección o credencial en la respuesta, con la revisión de respuestas en block: ese mensaje, o ese evento SSE, se sustituye con el mismo id y el estado de tu servidor
• 429 · -32000Por encima del límite por token, con Retry-After
• 413 · -32600Cuerpo de más de max_request_kb
• 400 · -32700El cuerpo no es JSON (id null)
• 400 · -32600JSON pero no JSON-RPC 2.0, o un lote vacío (id null)
• 202Una notificación bloqueada, sin cuerpo

Qué recibe el cliente

blocked by OpenWAF MCP Shield: seguido de los ids de las detecciones. error.data.openwaf repite el tipo de evento y los ids, así que un cliente distingue un bloqueo del escudo de un error de tu servidor.

{"jsonrpc": "2.0", "id": 7,
 "error": {"code": -32602,
   "message": "blocked by OpenWAF MCP Shield: mcp.tool_denied",
   "data": {"openwaf": {"kind": "mcp_blocked_tool",
                        "detections": ["mcp.tool_denied"]}}}}

Lotes: si se bloquea algún mensaje, el borde responde el lote entero y no llega nada a tu servidor. Los mensajes bloqueados llevan su error; las demás peticiones con id, -32600 batch rejected by OpenWAF MCP Shield.