Amazon Cognito agrega intercambio de tokens OAuth 2.0 para agentes de IA y servidores MCP

Amazon Web Services lanzó el intercambio de tokens OAuth 2.0 en Amazon Cognito el 12 de noviembre de 2026, implementando el RFC 8693 para que un servicio o agente de IA pueda cambiar el token de un usuario por un token más acotado, limitado a una API específica, según el anuncio de Amazon Web Services.

Qué cambió AWS

• Amazon Cognito ahora admite el intercambio de tokens OAuth 2.0 conforme al RFC 8693, anunciado el 12 de noviembre de 2026.
• Un servicio o agente de IA puede intercambiar el token de un usuario por un token limitado a una API específica.
• Los tokens intercambiados son de audiencia única y no incluyen un token de actualización (refresh token).
• Los tokens intercambiados incluyen una declaración act que identifica al intermediario que realizó el intercambio.
• AWS menciona a los servidores MCP como un ejemplo de actor que puede usar este flujo de intercambio de tokens.
• La función funciona a través del punto de conexión estándar de tokens OAuth o de la nueva API GetDerivedToken, en los planes Cognito Essentials y Plus en todas las regiones de Cognito.

Qué significa para quienes construyen con IA

La actualización les da a los desarrolladores que construyen agentes de IA e integraciones de Model Context Protocol una forma estándar de acotar las credenciales que se pasan a las herramientas, lo que responde a un problema de seguridad común en los agentes de IA: el acceso con tokens demasiado amplios. Al cambiar un token amplio por uno de audiencia única, vinculado a una API específica y marcado con una declaración act que muestra qué intermediario realizó el intercambio, los equipos pueden limitar lo que un agente o servidor MCP puede hacer con una credencial y auditar quién la solicitó.

Disponibilidad

El flujo de intercambio de tokens está disponible a través del punto de conexión estándar de tokens OAuth de Amazon Cognito o de la nueva API GetDerivedToken, en los planes Essentials y Plus de Cognito en todas las regiones de Cognito.

Fuentes

• Amazon Cognito launches OAuth 2.0 token exchange (Amazon Web Services, 12 de noviembre de 2026, oficial)

Redactado con ayuda de IA, únicamente a partir de las fuentes indicadas arriba. Antes de publicarse, controles automáticos verificaron sus fechas, sus fuentes y todas sus versiones de idioma.