Что он делает
Anthropic объявила MCP 25 ноября 2024 года как открытый стандарт для защищённых двусторонних соединений между источниками данных и ИИ-инструментами. Вместе с ним вышли готовые серверы для Google Drive, Slack, GitHub, Git, Postgres и Puppeteer (анонс Anthropic). В документации OpenAI Agents SDK MCP сравнивают с портом USB-C для ИИ-приложений (OpenAI).
Сторон две. MCP-сервер описывает, что умеет внешняя система: прочитать файл, найти клиента, выставить счёт. Клиент, то есть Claude, Cursor, ChatGPT или ваш собственный агент, видит этот список и вызывает нужное. Интеграцию пишут один раз, а подключают её к любой модели, которая говорит на MCP.
Двери вместо связки ключей
Самым точным сравнением я считаю системные вызовы. Программа на вашем компьютере не имеет права сама трогать диск, сеть или экран. Она обращается к ядру операционной системы через небольшой набор строго определённых дверей, ядро проверяет, можно ли, и делает (глава «Умение вместо функции»). MCP ставит такие же двери между агентом и миром: агент не лезет в банк или в базу клиентов напрямую, а стучится, и каждую дверь можно открыть, прикрыть наполовину, поставить у неё журнал и в любой момент заколотить (там же).
В архитектуре INITE это сложилось в короткую формулу: агент планирует действие, умение знает, как делать, MCP вызывает мир (там же). К сентябрю 2026 года на inite.ai уже работал адрес, по которому к сайту может подключиться любой агент через MCP (глава «Сайт больше не сайт»).
Кто его поддерживает и чего опасаться
9 декабря 2025 года Anthropic передала MCP в Agentic AI Foundation, фонд при Linux Foundation, который она основала вместе с Block и OpenAI. К тому времени публичных MCP-серверов было больше 10 000, а протокол поддерживали ChatGPT, Cursor, Gemini, Microsoft Copilot и Visual Studio Code (Anthropic).
Каждая дверь работает в обе стороны. Через MCP агент получает текст, а текст модель читает как возможные указания, и на этом построена промпт-инъекция. Саймон Уиллисон называет смертельной тройкой агента, у которого одновременно есть доступ к закрытым данным, контакт с чужим содержимым и способ отправить что-то наружу (Willison). Поэтому агенту подключают только те серверы, которые нужны для задачи (глава «Ответственность не автоматизируется»).
