ToolHive aísla los servidores MCP en contenedores y añade controles de acceso, secretos y red

ToolHive se posiciona como una plataforma de código abierto para ejecutar y administrar servidores Model Context Protocol con una capa adicional de aislamiento y controles de seguridad. El proyecto encapsula cada servidor MCP en su propio contenedor y coloca un proxy entre el cliente de inteligencia artificial y las herramientas a las que este puede acceder.

El planteamiento busca reducir uno de los riesgos asociados al crecimiento de MCP: un servidor puede recibir credenciales, acceder a archivos, realizar conexiones de red y ejecutar acciones en nombre de aplicaciones como Claude Code, Cursor o GitHub Copilot. ToolHive intenta limitar ese alcance aplicando permisos explícitos y evitando que el proceso tenga acceso directo e indiscriminado al sistema anfitrión.

Cada servidor MCP se ejecuta dentro de un contenedor aislado

ToolHive utiliza contenedores OCI mediante motores como Docker o Podman. Cada servidor se ejecuta de forma independiente, lo que permite separar sus procesos, sistema de archivos y permisos del resto del equipo.

La plataforma también puede construir automáticamente imágenes para servidores distribuidos mediante gestores de paquetes habituales de Python, Node.js y Go. De esta forma, un desarrollador puede utilizar un servidor MCP sin instalar directamente todas sus dependencias y entornos de ejecución en el sistema operativo.

El aislamiento mediante contenedores no convierte por sí solo a un servidor MCP en confiable, pero reduce la superficie disponible si el software contiene una vulnerabilidad, se comporta de manera inesperada o intenta acceder a recursos que no necesita.

Los perfiles de permisos limitan archivos y conexiones de red

ToolHive aplica perfiles de permisos para definir qué recursos puede utilizar cada contenedor. Es posible restringir qué archivos o sockets puede leer y escribir un servidor, así como establecer reglas para sus conexiones de salida.

Las políticas de red pueden limitar protocolos, destinos y puertos permitidos. Un servidor que solo necesite conectarse a una API concreta puede configurarse para no tener acceso libre al resto de Internet o a servicios internos de la red.

La plataforma incluye además un perfil especialmente restrictivo sin acceso de red y otro que permite conexiones salientes generales. Los responsables del proyecto desaconsejan utilizar este último como configuración habitual en entornos de producción.

Las credenciales no necesitan guardarse en texto plano

Otro componente de seguridad es la gestión de secretos. ToolHive permite almacenar credenciales de forma cifrada en lugar de introducir tokens y claves directamente en los archivos de configuración utilizados por los clientes MCP.

La plataforma también ofrece integración con gestores externos de secretos, lo que facilita separar las credenciales del servidor que las utiliza. El objetivo es reducir el riesgo de que una clave termine expuesta accidentalmente en un archivo, repositorio o configuración compartida.

El proxy controla las peticiones MCP antes de llegar al servidor

ToolHive no se limita a iniciar contenedores. La comunicación entre los clientes y los servidores MCP atraviesa una capa proxy que puede aplicar autenticación, autorización, registro de solicitudes, filtrado de herramientas y telemetría.

En entornos empresariales, la plataforma admite integración con proveedores de identidad mediante OIDC y OAuth. Esto permite definir quién puede utilizar determinados servidores o herramientas y aplicar políticas de autorización a las llamadas realizadas por los agentes.

Los registros de auditoría permiten además reconstruir qué solicitudes fueron realizadas, incluidas las acciones bloqueadas por las políticas de autorización. La observabilidad puede integrarse con OpenTelemetry y Prometheus.

ToolHive también puede ejecutarse sobre Kubernetes

Además del uso local mediante una interfaz gráfica o la línea de comandos, ToolHive dispone de un operador para Kubernetes. Esta modalidad permite a los equipos de plataforma administrar servidores MCP, registros y políticas mediante los mismos mecanismos utilizados para otras cargas de trabajo contenerizadas.

El operador añade aislamiento entre espacios de nombres, creación automática de servicios, descubrimiento de servidores e integración con sistemas de ingreso y autenticación. El objetivo es trasladar las mismas políticas utilizadas en el escritorio a despliegues centralizados dentro de organizaciones.

Es compatible con Claude Code, Cursor y GitHub Copilot

ToolHive puede conectar sus servidores con diferentes clientes compatibles con MCP, entre ellos Claude Code, Cursor, GitHub Copilot y otras herramientas de desarrollo. La aplicación de escritorio también puede automatizar parte de la configuración necesaria para registrar los servidores.

El proyecto mantiene además un catálogo de servidores MCP para facilitar su descubrimiento y despliegue. A finales de julio, el catálogo propio de ToolHive incluía 110 servidores, de los cuales 78 estaban basados en contenedores y 32 correspondían a servicios remotos.

La versión 0.41 ya soporta la especificación MCP de julio de 2026

La versión 0.41.0 de ToolHive, publicada el 28 de julio de 2026, añadió compatibilidad con la revisión MCP 2026-07-28 a través de sus proxies y de Virtual MCP. La plataforma puede manejar tanto servidores basados en la especificación anterior como implementaciones que utilizan la revisión más reciente.

La misma versión incorporó además un backend opcional de aislamiento de red basado en Envoy y mejoras para el intercambio delegado de tokens. Una actualización anterior había reforzado la autorización de Virtual MCP y corregido un problema de SSRF relacionado con el descubrimiento de autenticación de servidores remotos.

ToolHive se distribuye como proyecto de código abierto bajo licencia Apache 2.0 y dispone de herramientas para Windows, macOS y Linux. Su propuesta no elimina la necesidad de evaluar los servidores MCP antes de utilizarlos, pero añade una capa de control entre estos componentes y los sistemas, credenciales y redes a los que podrían intentar acceder.