Qué hace
Anthropic anunció MCP el 25 de noviembre de 2024 como un estándar abierto para conexiones seguras y bidireccionales entre fuentes de datos y herramientas de IA, y publicó servidores listos para Google Drive, Slack, GitHub, Git, Postgres y Puppeteer (anuncio de Anthropic). La documentación del Agents SDK de OpenAI lo compara con un puerto USB-C para aplicaciones de IA (OpenAI).
Hay dos lados. El servidor MCP describe lo que sabe hacer un sistema externo: leer un archivo, buscar un cliente, emitir una factura. El cliente, que es Claude, Cursor, ChatGPT o tu propio agente, ve esa lista y llama lo que necesita. La integración se escribe una vez y funciona con cualquier modelo que hable MCP.
Puertas, no un manojo de llaves
La comparación que me parece más precisa es con las llamadas al sistema. Un programa en tu computadora no tiene derecho a tocar por su cuenta el disco, la red o la pantalla. Toca la puerta del núcleo del sistema operativo a través de un conjunto pequeño de puertas bien definidas, y el núcleo revisa si está permitido (capítulo “A Skill Instead of a Function”). MCP pone puertas iguales entre el agente y el mundo: el agente no entra directo al banco ni a la base de clientes, toca, y cada puerta se puede abrir, dejar entornada, ponerle un registro y clausurar en cualquier momento (mismo capítulo).
En INITE esto se volvió una fórmula corta: el agente planea la acción, la habilidad sabe cómo hacerla, MCP llama al mundo (mismo capítulo). Para septiembre de 2026 inite.ai ya tenía una dirección en la que cualquier agente puede conectarse al sitio por MCP (capítulo “The Website Is No Longer a Website”).
Quién lo adoptó y qué vigilar
El 9 de diciembre de 2025 Anthropic donó MCP a la Agentic AI Foundation, un fondo de la Linux Foundation que fundó junto con Block y OpenAI. Para entonces había más de 10.000 servidores MCP públicos activos, y ChatGPT, Cursor, Gemini, Microsoft Copilot y Visual Studio Code habían adoptado el protocolo (Anthropic).
Cada puerta funciona en ambos sentidos. Por MCP el agente recibe texto, y el modelo lee el texto como posibles instrucciones; de eso vive la inyección de prompt. Simon Willison llama trifecta letal al agente que tiene a la vez acceso a datos privados, contacto con contenido que controla un tercero y una forma de enviar datos hacia afuera (Willison). Por eso al agente se le conectan solo los servidores que su tarea necesita (capítulo “Responsibility Cannot Be Automated”).
