MCP (Model Context Protocol): что это, как работает MCP-сервер и где его используют

MCP (Model Context Protocol, «протокол контекста модели») — открытый стандарт, который описывает, как ИИ-приложение получает данные и выполняет действия во внешних системах. Anthropic в анонсе 25 ноября 2024 года назвала его стандартом для безопасного двустороннего соединения ИИ-ассистентов с системами, где живут данные: хранилищами файлов, рабочими сервисами, средами разработки.

До MCP каждую связку приходилось программировать отдельно: свой коннектор для Claude, свой для ChatGPT, свой для редактора кода. Теперь владелец сервиса один раз делает MCP-сервер, и им пользуется любое совместимое приложение. Документация протокола подчёркивает границу: MCP отвечает только за обмен контекстом и не определяет, как приложение работает с моделью и что делает с полученными данными.

Протокол лежит в основе ИИ-агентов — программ, которые сами выполняют шаги задачи. Через MCP агент получает инструменты: поиск по базе знаний, создание задачи в трекере, запуск сценария в 3D-редакторе. В «Алисе AI» свой сервис добавляют как плагин: дают ему название и описание и указывают адрес MCP-сервера.

В схеме MCP три участника.

Сервер предлагает три вида возможностей: инструменты (функции, которые модель вызывает, — запрос к базе, отправка письма), ресурсы (данные для контекста — содержимое файла, схема базы) и шаблоны запросов. Клиент сначала получает список, затем вызывает нужное. Сообщения передаются в формате JSON-RPC 2.0.

Локальный сервер запускается на компьютере пользователя и общается с приложением через стандартный ввод-вывод. Удалённый работает в облаке поставщика по протоколу Streamable HTTP; вход в него рекомендуется делать через OAuth. В версии спецификации 2026-07-28 протокол стал stateless: каждый запрос несёт версию и сведения о клиенте, поэтому его может обработать любой экземпляр сервера.

Протокол придумали в Anthropic, но за год его приняли прямые конкуренты компании. В декабре 2025 года Anthropic передала MCP фонду Agentic AI Foundation, который она основала вместе с Block и OpenAI при поддержке Google, Microsoft, AWS, Cloudflare и Bloomberg. С этого момента протоколом не владеет одна компания.

На декабрь 2025 года проект называл клиентов с полноценной поддержкой: ChatGPT, Claude, Cursor, Gemini, Microsoft Copilot и VS Code.

Частые запросы о MCP — названия конкретных программ. Серверы к ним делают сами разработчики сервисов или сторонние авторы, и от автора зависят и поддержка, и безопасность.

Репозиторий сервера для Blender на GitHub собрал 34,4 тыс. звёзд; автор прямо пишет, что это сторонняя интеграция. Инфостарт описал свой набор MCP-серверов для разработки на 1С 1 июля 2026 года.

В нашей ленте за осень 2026 года MCP встречается в новостях почти каждую неделю. Walmart 21 октября представил Agent Gateway — MCP-сервер, через который одобренные ИИ-помощники ищут товары и оформляют заказы; доступа к платёжным данным покупателя агент не получает, а покупки идут в пределах лимита, заданного человеком. «Яндекс» 12 ноября представил агентный режим «Действуй!» в «Алисе AI», к которому пользователи подключают собственные сервисы через MCP.

MCP-сервер действует от имени того, кто его подключил. Если у владельца токена есть право удалять записи, оно есть и у агента. Отсюда три типа угроз.

Первая — промпт-инъекция через данные. 26 мая 2025 года компания Invariant Labs показала атаку на официальный сервер GitHub: злоумышленник оставляет в публичном репозитории задачу со скрытыми инструкциями, агент владельца читает её, достаёт данные из его закрытых репозиториев и публикует их. Ошибки в коде сервера не было: уязвима сама связка модели с инструментами, и одной правкой сервера она не закрывается.

Вторая — вредоносный сервер. В сентябре 2025 года в каталоге npm нашли пакет postmark-mcp, который выдавал себя за сервер почтового сервиса Postmark. Начиная с версии 1.0.16 он добавлял скрытую копию каждого отправленного письма на чужой адрес.

Третья — слишком широкие права и небрежная авторизация. Спецификация описывает подмену токенов, перехват кодов авторизации и запуск произвольных команд через конфигурацию локального сервера.

Рекомендации по безопасности в документации MCP требуют от разработчиков клиентов и серверов:

• перед подключением локального сервера показать человеку точную команду запуска и получить его согласие;
• принимать только токены, выпущенные для этого сервера, и не пересылать их дальше;
• запрашивать минимальные права и расширять их, когда понадобится конкретное действие;
• открывать адреса авторизации только по https и без командной оболочки.

• API — программный интерфейс одного сервиса со своими правилами. MCP-сервер обычно надстраивается над API и описывает его возможности так, чтобы их понимала любая модель.
• Вызов функций (function calling) — умение модели сформировать запрос к инструменту. MCP стандартизирует, откуда берётся список инструментов и как доставляется вызов.
• RAG — поиск по документам и подстановка найденного в запрос к модели. Поиск по базе знаний можно подключить как один из инструментов MCP-сервера.
• ИИ-агент — программа, которая пользуется инструментами по ходу задачи. MCP — способ дать ей эти инструменты.