Lectura o escritura: 271 herramientas MCP de 4 apps

Aproximadamente la mitad de las herramientas que el servidor MCP de una app de tareas le da a un agente pueden cambiar tus datos. Clasificamos las 271 herramientas documentadas de cuatro servidores, Done, Jira a través del servidor Rovo de Atlassian, Notion y ClickUp, en lectura y escritura: 129 solo leen (48%) y 142 escriben (52%). La proporción de herramientas de solo lectura va del 54% de Jira y Notion al 42% de Done. Cada escritura es una llamada que un agente puede hacer con tu autoridad, y por eso las anotaciones que le dicen a una app de IA qué herramientas puede ejecutar sin supervisión importan más que el número de herramientas.

¿Cuántas herramientas MCP solo leen?

Los cuatro servidores se hicieron por separado y aun así quedan a menos de 12 puntos de un reparto mitad y mitad. No es casualidad: una app de tareas es sobre todo cosas que consultar y cosas que cambiar, y un agente necesita ambas para hacer algo útil. Done queda más abajo porque sus herramientas están escritas para un agente que trabaja la cola, así que los pasos del ciclo (reclamar, informar avances, proponer la finalización, hacer una pregunta, liberar) son escrituras a propósito.

¿Qué escrituras no se pueden deshacer?

Muchas menos, y cada servidor traza la línea en un lugar distinto. Atlassian pone los tres borrados permanentes de Jira (un work item, un comentario, un adjunto) en su propio grupo de permisos, desactivado hasta que un administrador lo activa, junto con seis herramientas de administración. Los borrados de Notion mandan hasta 20 páginas o bases de datos a la papelera, de donde una herramienta de restauración puede recuperarlas. ClickUp lista dos herramientas de borrado, para tareas y comentarios. Los borrados de Done son suaves, van a una papelera que se vacía a los 30 días, pero Done marca igualmente 13 herramientas con destructiveHint, incluida cada actualización que sobrescribe un campo, porque lo que importa a quien supervisa es lo que deja de poder ver.

¿Qué le dicen realmente readOnlyHint y destructiveHint a una app de IA?

Son pistas que un servidor añade a cada herramienta para que la app que ejecuta el agente decida qué confirmar contigo. Los valores por defecto de la especificación de MCP son prudentes: una herramienta sin anotaciones se considera de escritura (readOnlyHint false), destructiva (destructiveHint true), no idempotente y abierta al mundo exterior (openWorldHint true). La especificación también dice que las anotaciones son pistas, no garantías, y que un cliente nunca debe fiarse de ellas si vienen de un servidor no confiable. Así que un servidor que no anota nada es tratado como peligroso por las apps cuidadosas, y uno que anota con honestidad les permite saltarse la confirmación en cada lectura.

• readOnlyHint: true significa que la herramienta no modifica nada. Por defecto, false.
• destructiveHint: true significa que una escritura puede destruir o sobrescribir en vez de solo añadir. Solo tiene sentido en escrituras. Por defecto, true.
• idempotentHint: true significa que repetir la escritura con los mismos argumentos no cambia nada más. Por defecto, false.
• openWorldHint: true significa que la herramienta llega fuera de los datos del propio servidor, como la web u otro producto. Por defecto, true.

Qué significa esto si conectas un agente a tu app de tareas

Da por hecho que la mitad de lo que concediste puede cambiar cosas, y comprueba qué mitad. En Linear puedes conectar el endpoint de solo lectura. En Jira un administrador puede dejar desactivados los grupos de borrado y de administración. En Done puedes crear un token de solo lectura o uno limitado a un solo proyecto. Y como una anotación describe una sola llamada, no si el resultado final está bien, la protección más fuerte está en la tarea: en Done un agente propone la finalización y la tarea espera tu aprobación, salvo que la hayas marcado como agent-ok.

Cómo contamos

• Done: las anotaciones de cada herramienta tal como las emite el servidor de Done el 28 de octubre de 2026; solo lectura significa readOnlyHint true. De sus 50 escrituras, 21 están marcadas como idempotentes y 3 herramientas llegan a otras apps (openWorldHint true).
• Jira: los grupos de Atlassian. Lectura cubre sus 27 herramientas de lectura y 1 de búsqueda; escritura cubre 15 de escritura, 3 de borrado y 6 de administración.
• Notion y ClickUp no publican un indicador de lectura o escritura en su documentación, así que clasificamos cada herramienta documentada por su nombre y descripción: get, list, fetch, search, query, find y download cuentan como lectura; create, update, move, merge, send, start, stop, delete y similares, como escritura.
• Los porcentajes están redondeados al número entero más cercano.