Home Assistant 2026.10 introduce un cambio pequeño, aunque relevante, en la forma en que una casa inteligente puede conectarse con software externo. La versión añade un área de ajustes de IA más clara, facilita la activación de su servidor de Model Context Protocol y descubre automáticamente algunas aplicaciones que ejecutan su propio servidor MCP. También incorpora mejoras de mantenimiento más convencionales, como un panel para conexiones Modbus y tarjetas de panel con información más útil.

Una mano se detiene sobre una tableta de hogar inteligente con controles genéricos de seguridad y permisos en una sala luminosa.

La función principal no es un sensor nuevo ni un estándar de radio diferente. Es un camino más corto entre Home Assistant y una aplicación de IA como Claude, ChatGPT o Cursor. En una configuración bien delimitada, permite preguntar por dispositivos, consultar estados actuales o controlar un conjunto limitado de entidades. En una configuración demasiado amplia, puede convertir un permiso de administrador en un mando a distancia para cerraduras, puertas de garaje, alarmas, calefacción y otros equipos con consecuencias reales.

La respuesta razonable no es evitar la actualización. Conviene tratar la nueva pantalla de configuración como una revisión de permisos. Si ya utilizas la integración MCP de Home Assistant, 2026.10 ofrece un buen motivo para comprobar qué está expuesto. Si no la utilizas, puedes instalar la versión sin activar la función.

Qué cambia en Home Assistant 2026.10

La versión de octubre, publicada el 7 de octubre, añade una tarjeta de Model Context Protocol a la página de IA, dentro de Settings > System. Home Assistant describe MCP como una forma de que una aplicación de IA externa se conecte con la Assist API de Home Assistant. La tarjeta nueva permite activar el servidor en un solo paso y muestra las URL de conexión que deben copiarse en un cliente compatible.

En esencia, es una mejora de usabilidad. El servidor MCP no aparece por primera vez en esta versión: la documentación de Home Assistant indica que la integración se introdujo anteriormente. El cambio importante es que ya no hace falta buscarla en la lista de integraciones, averiguar qué endpoint corresponde y reunir manualmente los datos de conexión antes de empezar.

Las configuraciones nuevas exponen de forma predeterminada todas las API de LLM disponibles, incluidas las que se añadan más adelante, y limitan por defecto la conexión a cuentas de administrador. Ambas opciones pueden cambiarse en la configuración de la integración. Son valores iniciales útiles, pero no sustituyen la decisión de qué debería poder hacer realmente la aplicación conectada.

La versión también simplifica la conexión en sentido inverso. Las aplicaciones que ofrecen su propio servidor MCP ahora pueden ser descubiertas automáticamente por la integración MCP de Home Assistant. Para conectar una de ellas se necesita confirmación, en lugar de seguir un proceso más largo de descubrimiento manual. Es cómodo, pero hace más importante leer la pantalla de confirmación y no aceptar a primera vista todos los servicios encontrados.

Home Assistant 2026.10 mejora además la forma en que algunas herramientas de IA se describen ante los clientes. La documentación para desarrolladores señala que las herramientas LLM ahora devuelven un ToolResult estructurado y pueden declarar metadatos como si una herramienta es de solo lectura, destructiva, idempotente o capaz de acceder fuera de Home Assistant. Estas etiquetas aportan más información al cliente de IA sobre el comportamiento de una herramienta, pero por sí solas no convierten en segura una frontera de permisos mal diseñada.

MCP no equivale a dar acceso a toda la instalación

La palabra IA puede hacer que la función parezca más amplia de lo que es. La Assist API integrada está diseñada alrededor de las entidades y capacidades que Home Assistant expone. No ofrece acceso administrativo general a la instalación de Home Assistant. La documentación oficial para desarrolladores indica que la Assist API integrada no puede realizar tareas administrativas.

Es una frontera útil. Un cliente de IA conectado a Assist puede leer la temperatura, encender una lámpara o activar un script expuesto, pero eso no significa que pueda editar automatizaciones, reescribir el panel, inspeccionar todos los registros o modificar el sistema operativo. Son capacidades distintas y no deben darse por supuestas solo porque el cliente pueda controlar un dispositivo.

Aun así, la frontera puede ser más amplia de lo que muchas viviendas esperan. Un cliente conectado puede recibir una instantánea del contexto expuesto, y una entidad publicada puede contener información sobre presencia, estado de seguridad, consumo de energía o rutinas personales. Una luz suele tener pocas consecuencias. Una cerradura, una puerta de garaje, una cámara, una alarma, una válvula de agua o un calefactor no.

La documentación de la integración MCP indica que los clientes solo pueden controlar las entidades disponibles mediante la API de LLM seleccionada y la configuración de entidades expuestas. Ese es el control práctico que conviene utilizar. La pregunta no es si un cliente de IA es digno de confianza en abstracto. La pregunta es si el conjunto concreto de entidades expuestas está suficientemente limitado para que un error pueda corregirse.

Primera comprobación: revisa las entidades expuestas

Antes de conectar una aplicación de IA, abre los ajustes de exposición de Voice Assistant o Assist de Home Assistant y revisa la lista dispositivo por dispositivo. Retira todo aquello que no necesite control por voz o mediante IA. La documentación de buenas prácticas de Home Assistant recomienda exponer el menor número posible de entidades, porque un conjunto más pequeño mejora la coincidencia de nombres, reduce el contexto y disminuye la posibilidad de que el asistente elija el dispositivo equivocado.

Empieza por dispositivos con consecuencias limitadas. Una lámpara de escritorio, un reproductor multimedia, un ventilador o un sensor de temperatura son mejores elementos de prueba que una cerradura o una alarma. El objetivo es demostrar que la conexión funciona sin convertir el primer experimento en un incidente de seguridad.

Después comprueba los nombres y las áreas. Un sistema de IA debe distinguir entre luz del dormitorio, ventilador del dormitorio y calefactor del dormitorio. Los nombres claros y las habitaciones asignadas correctamente reducen la ambigüedad. Evita dar nombres casi idénticos a varios dispositivos, sobre todo cuando sus consecuencias sean diferentes. Cerradura de la puerta principal y luz del porche delantero se distinguen mejor que dos entidades llamadas simplemente principal.

La documentación de exposición de Home Assistant advierte expresamente que dispositivos sensibles, como cerraduras y puertas de garaje, no deberían controlarse por voz de forma accidental. La misma cautela se aplica a un cliente de IA conectado mediante MCP. Si una entidad no necesita control conversacional, déjala sin exponer. Un panel puede seguir disponible para control manual sin convertirse en una herramienta de IA.

Ten cuidado con los scripts. Las indicaciones de Assist señalan que los scripts expuestos a un LLM pueden convertirse en herramientas, en lugar de actuar como entidades ordinarias. Puede ser potente: un script bien diseñado puede representar una rutina completa. También significa que importan tanto la descripción como el comportamiento del script. Un script llamado modo noche no debería desbloquear puertas, desactivar dispositivos de seguridad ni apagar equipos de protección como efecto secundario silencioso.

Para rutinas que afectan a varios dispositivos, crea un script limitado, con una finalidad clara y límites previsibles. Un buen ejemplo es apagar las luces de la planta baja. Uno mucho más arriesgado es salir de casa, si esa rutina también abre la puerta del garaje, cambia los modos de alarma, ajusta la calefacción y envía una notificación a otras personas. Mantén separadas las acciones relevantes para que el asistente tenga menos oportunidades de combinarlas accidentalmente.

Segunda comprobación: decide si hace falta un administrador

Home Assistant 2026.10 mantiene activado por defecto el acceso exclusivo para administradores en las nuevas configuraciones MCP. Es más seguro que tratar una cuenta general del hogar como suficiente para todas las API. También es una señal de que la conexión merece la misma atención que cualquier otra integración con privilegios.

La documentación oficial para usuarios distingue entre cuentas de administrador y usuarios ordinarios. Los administradores pueden configurar integraciones, dispositivos y ajustes del sistema, mientras que las cuentas no administrativas tienen un acceso restringido a las áreas de configuración y del sistema. La documentación de MCP indica que el endpoint base puede configurarse para exigir un administrador y que las API distintas de la Assist API integrada requieren una cuenta de administrador autenticada.

No conviertas en administrador la cuenta cotidiana de un miembro del hogar solo porque una aplicación de IA lo solicite. Si el cliente necesita de verdad una API privilegiada, crea una cuenta separada para ese propósito, utiliza una contraseña única y resistente y revisa periódicamente su rol y su lista de exposición. Una cuenta de servicio sin una persona asociada puede ser útil para integraciones, pero no debería convertirse en un superusuario permanente que nadie controle.

Las indicaciones de seguridad de Home Assistant recomiendan contraseñas únicas y resistentes, autenticación multifactor y limitar el acceso de administrador a las cuentas que lo necesiten. Estas recomendaciones cobran más importancia cuando un cliente puede utilizar un token o una conexión remota autenticada. Trata los tokens de acceso como credenciales. No los pegues en informes públicos de errores, capturas de pantalla, salas de chat ni notas compartidas.

Si tu hogar no necesita control externo mediante IA, no hay razón para activar MCP. Instalar Home Assistant 2026.10 y utilizar sus paneles habituales, automatizaciones, funciones de Assist o integraciones de dispositivos no exige conectar un cliente MCP externo. El permiso más seguro es el que no necesitas conceder.

Tercera comprobación: confirma cómo llega la conexión a tu casa

El servidor MCP se publica en un endpoint como /api/mcp, y el cliente debe autenticarse. Un cliente local en la misma red tiene un perfil de riesgo distinto del de un servicio alojado que se conecta a Home Assistant a través de internet. Antes de aprobar la conexión, entiende cuál de los dos estás configurando.

La documentación de seguridad de Home Assistant recomienda utilizar un método seguro de acceso remoto, en lugar de exponer directamente la instalación en internet. Entre las opciones menciona Home Assistant Cloud, TLS con un certificado, una VPN y un túnel SSH, cada una con diferentes niveles de configuración y mantenimiento. Redirigir directamente al internet público el puerto de una instancia de Home Assistant no es un atajo sensato para probar una función de IA.

Si utilizas un proxy inverso, un túnel o un cliente MCP alojado, revisa con cuidado el nombre de host y el flujo de autenticación. La documentación de MCP señala que los clientes remotos pueden necesitar que el nombre de host coincida con la URL interna o externa configurada en Home Assistant. Una conexión que falla por una URL incorrecta resulta incómoda. Una conexión que funciona a través de una ruta pública no prevista es un problema de seguridad.

La compatibilidad con OAuth no elimina la necesidad de entender el permiso que se concede. Puede facilitar la autenticación, pero el cliente sigue recibiendo todo lo que permitan la API seleccionada y las entidades expuestas. Cuando una aplicación ofrece varios métodos de conexión, elige el que proporcione controles más claros para la cuenta, el token y la revocación.

Después de la configuración, prueba desde la lista de herramientas o la pantalla de conexión del cliente. Confirma que solo puede ver las entidades que querías exponer. Después revoca o elimina la conexión y verifica que el acceso se detiene. Un sistema de permisos inspira más confianza cuando se han probado tanto la ruta de autorización como la de retirada.

Un despliegue más seguro para una vivienda real

Un despliegue práctico puede hacerse por etapas. Primero, actualiza Home Assistant y deja que se reinicie con normalidad. Comprueba que las automatizaciones importantes, los paneles y las integraciones de dispositivos siguen funcionando. Las notas de la versión incluyen cambios incompatibles con versiones anteriores, entre ellos la normalización de nombres de usuario: ahora se gestionan en minúsculas y se eliminan los espacios iniciales y finales. Si Home Assistant muestra una reparación o una advertencia relacionada con una cuenta, resuélvela antes de añadir una conexión de IA.

Después, prepara una lista breve de tareas que realmente quieras que realice el cliente de IA. Preguntar si la puerta del garaje está abierta es más concreto que pedirle que gestione la casa. Encender las luces de la cocina es una primera prueba de control mejor que ejecutar la rutina de ausencia. Si no puedes describir la acción deseada en una sola frase, probablemente sea demasiado amplia para la primera configuración.

Expón únicamente los sensores y dispositivos necesarios para esas tareas. Empieza con comprobaciones de solo lectura. Pregunta por el estado actual de un sensor de temperatura, una luz o un contacto de puerta. Observa si la respuesta identifica el área y el dispositivo correctos. Si no lo hace, corrige los nombres y la exposición antes de permitir el control.

Añade después un control de bajo riesgo. Enciende una lámpara o arranca un ventilador y comprueba que la acción llegó a la entidad correcta. No hagas la primera prueba con una cerradura, una puerta de garaje, un calefactor, un horno, una válvula de agua o una alarma. El primer comando satisfactorio solo demuestra que la conexión funciona; no demuestra que el cliente interpretará correctamente todas las solicitudes en lenguaje natural.

Si más adelante expones un dispositivo con consecuencias importantes, exige una confirmación explícita dentro del proceso. Por ejemplo, utiliza un script que pida una confirmación clara antes de cambiar el estado de una alarma, o conserva manualmente la acción final. No dependas de una instrucción imprecisa como hacer segura la casa cuando el resultado depende de que la IA decida qué puertas, ventanas, cámaras y alarmas cuentan como seguras.

Documenta la conexión en una nota del hogar: qué cliente está conectado, qué cuenta utiliza, qué entidades están expuestas y cómo se revoca el acceso. Es especialmente útil cuando un familiar configura la conexión y otra persona se encarga de mantener la casa inteligente. Una integración sin documentar suele permanecer activa mucho después de que todos hayan olvidado por qué existe.

Qué conviene probar después de la actualización

La nueva página de IA es el lugar más evidente que revisar, pero la versión incluye varios cambios no relacionados con la IA. El nuevo panel de Modbus, dentro de Settings > Connectivity, muestra las conexiones serie y de red, los dispositivos que utilizan y las integraciones asociadas. Es útil en viviendas con inversores, medidores de energía, equipos de calefacción u otro hardware Modbus, especialmente cuando varias integraciones comparten una conexión.

Home Assistant también mejora la visibilidad de los paneles. La pestaña Visibility ahora muestra si una tarjeta está visible en ese momento y si se cumple cada condición. Esto ayuda a diagnosticar un panel en el que parece faltar un control, sin tener que reescribir de inmediato la tarjeta o la automatización.

La versión mejora asimismo el comportamiento de las búsquedas multimedia. Home Assistant indica que una IA a la que se pida reproducir música puede recibir una lista de resultados y seleccionar una coincidencia mejor, mientras que la búsqueda dentro de artistas, álbumes y listas de reproducción ha mejorado en los sistemas multimedia compatibles. Es cómodo, pero sigue siendo un ámbito de bajo riesgo para evaluar la conexión de IA. Reproducir una canción equivocada es una molestia; cambiar el estado de una cerradura es un incidente de seguridad.

Algunas viviendas encontrarán además cambios específicos de ciertas integraciones. Las notas de la versión mencionan un comportamiento modificado para vehículos Teslemetry, la retirada de una ruta de reconfiguración de UniFi Network y la normalización de nombres de usuario. Las integraciones personalizadas pueden tener sus propios requisitos de compatibilidad. Si la instalación depende de componentes de HACS o de integraciones de proveedores poco habituales, revisa las notas de la versión y las reparaciones antes de dar por hecho que todos los dispositivos siguen igual.

Las copias de seguridad importan más cuando cambian los permisos

Haz una copia de seguridad nueva antes de cambiar la autenticación, añadir una integración o exponer un conjunto amplio de dispositivos. Una copia no impedirá que una IA tome una decisión equivocada, pero proporciona un punto de recuperación si un cambio de configuración rompe la instalación. Conserva al menos una copia en un lugar distinto del equipo que aloja Home Assistant; una copia guardada únicamente en un dispositivo que ha fallado no constituye un plan de recuperación completo.

Sé preciso sobre lo que una copia puede y no puede hacer. La documentación de restauración de Home Assistant advierte que restaurar una copia completa reemplaza la configuración actual de Home Assistant, las aplicaciones y sus datos por el contenido de la copia. Los cambios realizados después de esa copia se pierden. Restaurar es, por tanto, una operación de recuperación, no un botón para deshacer un comando de voz equivocado.

Cuando cambies permisos para una IA, guarda la lista de exposición original o toma capturas de los ajustes relevantes. Si la nueva configuración se vuelve confusa, quizá tengas que recuperar manualmente los permisos en lugar de restaurar toda la casa. Un inventario escrito sencillo suele ser más útil que una copia grande cuando el problema es saber qué entidad se expuso.

¿Deberías activar MCP ahora?

Actívalo ahora si tienes un flujo de trabajo de IA local o remoto concreto, entiendes la cuenta y la ruta de red, y estás dispuesto a mantener una lista pequeña de entidades expuestas. La interfaz de 2026.10 debería facilitar esa configuración, y la Assist API ofrece una frontera más limitada que el acceso administrativo general. Empieza con sensores de solo lectura y dispositivos con consecuencias reducidas.

Espera si el atractivo consiste únicamente en que la función es nueva, si no puedes identificar qué cliente se conectará o si todavía no tienes una forma fiable de revocar el acceso. Posponer la conexión apenas tiene coste. Home Assistant seguirá controlando la casa mediante su aplicación habitual, los paneles, las automatizaciones y las vías de voz compatibles.

No la actives como sustituto de una copia de seguridad, un sistema de seguridad o una automatización diseñada con cuidado. Una IA puede interpretar una solicitud, pero no conoce las reglas de seguridad de tu hogar a menos que las definas y mantengas estrecho el límite de las herramientas. También puede interpretar mal una petición ambigua mientras responde con seguridad aparente.

La lección útil de Home Assistant 2026.10 tiene menos que ver con entusiasmarse con la IA que con diseñar permisos. Un flujo de configuración más corto es un buen trabajo de producto. Debe reducir la fricción alrededor de una decisión que ya has tomado, no tomar la decisión por ti. Deja que el cliente vea únicamente lo que necesita, dale la cuenta menos potente que funcione, mantén deliberado el acceso remoto, prueba la revocación y deja las acciones importantes detrás de una confirmación manual cuando el coste de un error sea alto.

Ese enfoque permite aprovechar la función nueva sin convertir la casa inteligente en una extensión no examinada de cada aplicación de IA de la red.

Fuentes