O que ele faz
A Anthropic anunciou o MCP em 25 de novembro de 2024 como um padrão aberto para conexões seguras de mão dupla entre fontes de dados e ferramentas de IA, e lançou junto servidores prontos para Google Drive, Slack, GitHub, Git, Postgres e Puppeteer (anúncio da Anthropic). A documentação do Agents SDK da OpenAI compara o MCP a uma porta USB-C para aplicações de IA (OpenAI).
São dois lados. O servidor MCP descreve o que um sistema externo sabe fazer: ler um arquivo, achar um cliente, emitir uma fatura. O cliente, que é o Claude, o Cursor, o ChatGPT ou o seu próprio agente, vê essa lista e chama o que precisa. A integração é escrita uma vez e funciona com qualquer modelo que fale MCP.
Portas, e não um molho de chaves
A comparação que acho mais precisa é com as chamadas de sistema. Um programa no seu computador não tem o direito de mexer sozinho no disco, na rede ou na tela. Ele bate no núcleo do sistema operacional por um pequeno conjunto de portas bem definidas, e o núcleo confere se é permitido (capítulo “Uma habilidade em vez de uma função”). O MCP põe portas iguais entre o agente e o mundo: o agente não entra direto no banco ou na base de clientes, ele bate, e cada porta pode ser aberta, deixada entreaberta, ganhar um registro e ser pregada a qualquer momento (mesmo capítulo).
Na INITE isso virou uma fórmula curta: o agente planeja a ação, a habilidade sabe como fazer, o MCP chama o mundo (mesmo capítulo). Em setembro de 2026 o inite.ai já tinha um endereço pelo qual qualquer agente pode se conectar ao site via MCP (capítulo “O site não é mais um site”).
Quem adotou e com o que tomar cuidado
Em 9 de dezembro de 2025 a Anthropic doou o MCP à Agentic AI Foundation, um fundo da Linux Foundation que ela criou junto com a Block e a OpenAI. Na época já havia mais de 10 mil servidores MCP públicos ativos, e ChatGPT, Cursor, Gemini, Microsoft Copilot e Visual Studio Code tinham adotado o protocolo (Anthropic).
Toda porta funciona nos dois sentidos. Pelo MCP o agente recebe texto, e o modelo lê texto como possíveis instruções; é disso que vive a injeção de prompt. Simon Willison chama de tríade letal o agente que tem ao mesmo tempo acesso a dados privados, contato com conteúdo controlado por terceiros e um jeito de mandar dados para fora (Willison). Por isso o agente recebe só os servidores de que a tarefa precisa (capítulo “A responsabilidade não se automatiza”).
