Model Context Protocol (MCP)

Qu'est-ce que le Model Context Protocol (MCP) ?

Le Model Context Protocol (MCP) est un standard ouvert qui connecte les agents IA et les applications d'IA à des systèmes externes, par exemple des systèmes de fichiers, des bases de données, des systèmes métier et des outils de développement. Anthropic a lancé MCP le 25 novembre 2024 ; ses auteurs étaient David Soria Parra et Justin Spahr-Summers. L'objectif : une interface unifiée entre un modèle de langage et l'univers des outils et des données, pour que chaque projet d'agent n'ait pas à réinventer sa connexion aux outils.

Le rôle conceptuel central de MCP tient en une phrase : en 2026, MCP est le protocole fondamental de la relation agent-outil. Un agent, compris comme un LLM qui utilise des outils de manière autonome dans une boucle, a besoin d'un moyen standardisé pour appeler des fonctions, interroger des données et déclencher des actions dans des systèmes externes. C'est précisément cette couche que MCP standardise. La distinction officielle, désormais partagée par tout le secteur, est la suivante : MCP sert aux capacités (agent-outil), A2A à la collaboration (agent-agent). Google, Salesforce et Microsoft emploient tous cette même formulation.

Architecture technique

MCP repose sur JSON-RPC 2.0 via plusieurs transports :

• stdio pour les connexions locales,
• à l'origine HTTP avec Server-Sent Events, remplacé depuis la révision de la spécification du 26 mars 2025 (version 2025-03-26) par Streamable HTTP.

Au-delà du transport, la révision de mars 2025 a apporté trois nouveautés majeures : la prise en charge d'OAuth 2.1, le batching JSON-RPC et les annotations d'outils. La révision 2025-06-18 a de nouveau retiré le batching de la spécification. La publication de la spécification de novembre 2025 (version 2025-11-25) a notamment ajouté des tâches expérimentales pour les requêtes de longue durée avec récupération ultérieure du résultat, l'appel d'outils pendant le sampling et OpenID Connect Discovery pour l'autorisation. Début 2026, MCP Apps (SEP-1865) a standardisé la fourniture d'interfaces utilisateur interactives par les serveurs MCP aux applications hôtes comme Claude et ChatGPT.

La révision 2026-07-28, actuellement en vigueur, rend MCP sans état : le handshake initialize et les sessions au niveau du protocole disparaissent, chaque requête porte elle-même sa version de protocole. Les serveurs annoncent les versions et capacités qu'ils prennent en charge via le RPC obligatoire server/discover. Les tâches expérimentales quittent le protocole de base pour une extension officielle. Sampling, roots et logging sont marqués comme obsolètes (deprecated) et ne sont conservés que pendant une période de transition.

Sur le plan architectural, MCP distingue l'application hôte (p. ex. Claude, un agent Copilot Studio), le client et le serveur MCP. Le serveur MCP encapsule la connexion à un système externe précis et expose ses capacités sous forme d'outils. Du point de vue de l'agent, chaque source de données et chaque système cible se présentent donc de la même manière : une liste d'outils clairement décrits, dotés d'un schéma, que l'agent peut appeler.

Effet secondaire important en pratique : MCP est de plus en plus utilisé aussi entre agents, en exposant un autre agent comme « serveur » MCP doté de capacités sous forme d'outils. Cela fonctionne, mais ce n'est pas l'usage pour lequel MCP a été conçu. Google et Microsoft recommandent systématiquement d'utiliser A2A pour une véritable collaboration entre pairs et de cantonner MCP à la couche outils.

Gouvernance : la Linux Foundation et l'Agentic AI Foundation (AAIF)

L'étape de gouvernance la plus importante a eu lieu le 9 décembre 2025 : Anthropic a fait don de MCP à l'Agentic AI Foundation (AAIF) nouvellement créée, un Directed Fund de la Linux Foundation. L'AAIF a été cofondée par Anthropic, Block et OpenAI, avec le soutien au niveau Platinum d'Amazon Web Services, Bloomberg, Cloudflare, Google et Microsoft.

Parmi les autres membres Gold et Silver figurent notamment Adyen, Cisco, Datadog, Docker, IBM, JetBrains, Okta, Oracle, SAP, Snowflake, Twilio, Hugging Face, Pydantic, Uber et SUSE, soit pratiquement toute la stack de l'IA agentique. MCP a rejoint l'AAIF en même temps que goose de Block et AGENTS.md d'OpenAI.

Un point important pour bien situer les choses : la gouvernance technique au quotidien reste entre les mains des mainteneurs actuels de MCP. L'AAIF Governing Board est responsable des investissements stratégiques et du recrutement de membres. Le passage sous l'égide de la Linux Foundation constitue donc le signal structurel le plus fort possible contre une fragmentation en variantes propriétaires propres à chaque éditeur, même si, comme l'a souligné Cisco elle-même en décembre 2025, les différents projets de protocoles fonctionnent en partie « encore comme des îlots ».

Adoption de 2024 à 2026

À partir de fin 2024, MCP s'est diffusé de manière explosive :

• Block et Apollo utilisaient MCP dès son lancement en novembre 2024. Zed, Replit, Codeium (Windsurf) et Sourcegraph travaillaient alors déjà sur des intégrations.
• Début 2025 ont suivi notamment Cursor (prise en charge de MCP avec les correctifs 0.45.x) et Microsoft Copilot Studio (préversion à partir de mars 2025), ainsi que des dizaines d'autres.
• OpenAI a officiellement adopté MCP en mars 2025.
• Google DeepMind a suivi en avril 2025 (par un tweet de Demis Hassabis).
• Claude, d'Anthropic, propose un annuaire de plus de 75 connecteurs MCP officiels.
• Les SDK comptabilisent plus de 97 millions de téléchargements mensuels, Python et TypeScript confondus.

MCP n'est donc pas un standard de niche, mais de facto la couche d'outils universellement acceptée chez Anthropic, OpenAI, Google, Microsoft, AWS, SAP, Salesforce, ServiceNow, IBM et Cisco.

MCP dans la stack de protocoles convergente

Après douze mois de repositionnement public, la stack convergente pour 2026 est claire. MCP y occupe la couche outils, A2A la couche agent-agent :

À noter : AGNTCY aussi (Cisco/LangChain/Galileo, donné à la Linux Foundation le 29 juillet 2025) s'appuie sur MCP au lieu de le remplacer ; les agents A2A et les serveurs MCP sont trouvables via les annuaires AGNTCY. L'évaluation honnête est la suivante : MCP + A2A constitue la stack convergente de l'industrie. AGNTCY est la couche d'identité et d'observabilité là où elle est nécessaire ; NANDA reste conceptuel.

Sécurité : le modèle de confiance optimiste

MCP est le bon catalyseur de l'écosystème des agents, mais, sur le fond, son modèle de confiance optimiste n'est pas la bonne base de confiance. En 2025, plusieurs classes d'attaques ont été documentées :

• Injection de prompt indirecte via les descriptions des serveurs MCP.
• Tool Poisoning : la preuve de concept WhatsApp d'Invariant Labs (avril 2025).
• Look-alike Server Squatting : de faux serveurs qui imitent les vrais.
• Full-Schema Poisoning (CyberArk) : chaque partie d'un schéma d'outil est un point d'injection potentiel, pas seulement la description.
• « Toxic Agent Flow » dans l'intégration MCP de GitHub : une issue GitHub malveillante force l'agent à divulguer des données de dépôts privés.

Ces risques s'aggravent dans les architectures multi-agents : chaque nouvelle fenêtre de contexte de sous-agent est une nouvelle surface d'attaque. La classe EchoLeak d'exploits d'injection de prompt zero-click (CVE-2025-32711, Microsoft 365 Copilot, divulguée par Aim Labs en juin 2025) était une attaque mono-agent ; les défauts de frontière de confiance sous-jacents augmentent toutefois linéairement avec le nombre d'agents qui ingèrent des contenus non fiables.

En 2026, la mitigation relève de la responsabilité du déployeur : sandboxing, jetons OAuth 2.1 à portée limitée (conformément à la spécification d'autorisation 2026-07-28), moindre privilège et, en règle générale, aucune installation autonome par l'agent de serveurs MCP issus de registres non fiables. Savoir si cela suffit à grande échelle reste une question ouverte, sans réponse définitive en 2026.

Pertinence pour les entreprises

Pour les entreprises, la pertinence de MCP est très élevée, pratiquement incontournable. Quiconque lance en 2026 un projet d'agents dans une PME ou un grand groupe écrit ou consomme des serveurs MCP, que ce soit prévu ou non.

• SAP Joule Studio 2.0 (Sapphire 2026) intègre MCP nativement, y compris des serveurs MCP pour ABAP, LeanIX et l'Integration Suite. Comme la base installée SAP dans la région DACH (Allemagne, Autriche, Suisse) dépasse celle de toute autre plateforme, c'est en pratique le point d'entrée MCP le plus important de la région. La décision de SAP d'intégrer Anthropic Claude comme modèle de raisonnement principal dans un environnement gouverné par SAP est souvent, en particulier pour les déployeurs des secteurs BFSI et santé, le critère d'achat décisif.
• Microsoft 365 Copilot, Copilot Studio, Salesforce Agentforce, n8n, LangGraph, Mastra et PydanticAI parlent tous MCP. La ligne directrice multi-agents de Microsoft est explicite : « Use MCP for tool and data access. Use Linux Foundation A2A for cross-platform agent-to-agent messaging. »
• n8n, éditeur berlinois d'automatisation de workflows nativement compatible MCP et sous licence fair-code, a encore gagné en importance en 2026 lorsque SAP a annoncé l'intégration de n8n dans Joule Studio (sa valorisation a doublé pour atteindre 5,2 milliards USD).

Remarques de conformité (à titre informatif, sans valeur de conseil juridique)

Dès que des agents franchissent, via des sauts MCP et A2A, les frontières entre plusieurs fournisseurs de calcul, zones de résidence des données et sous-traitants, chaque opérateur de serveur MCP devient potentiellement un sous-traitant ultérieur au sens du RGPD. Cela allonge la chaîne des contrats de sous-traitance (art. 28 RGPD) et la rend plus complexe. Pour les étapes transfrontalières, les art. 44–49 RGPD s'appliquent en outre. Le cadre de protection des données UE-États-Unis reste en vigueur en 2026, mais fait l'objet de contestations juridiques ; c'est pourquoi les clauses contractuelles types (CCT) et les analyses d'impact des transferts restent considérées comme des garde-fous. Ces remarques sont fournies à titre informatif et ne remplacent pas un conseil juridique ; les qualifications mentionnées sont provisoires en l'état actuel et doivent être vérifiées selon le secteur (BFSI, santé, énergie). En pratique, il est recommandé de rendre les appels d'outils MCP auditables : propager des identifiants de corrélation à travers chaque appel MCP et figer les versions des modèles en production.

Perspectives et conseil pratique

En 2026, MCP s'est imposé comme la couche d'outils standard de la stack agentique et, sous l'égide de la Linux Foundation, il est structurellement protégé contre la fragmentation. Pour un projet d'agents, la recommandation rationnelle par défaut est : MCP pour les outils, A2A pour les agents. Tout le reste est un écart délibéré par rapport à la stack convergente et doit être justifié.

Trois conseils pratiques concrets pour démarrer : premièrement, utilise les serveurs MCP standard des éditeurs et n'écris tes propres serveurs MCP que pour des API internes propriétaires, sans construire plus d'agents et de serveurs que le problème ne l'exige. Deuxièmement, exploite les serveurs MCP derrière OAuth 2.1 avec des scopes au moindre privilège et n'autorise jamais l'installation autonome de serveurs depuis des registres inconnus. Troisièmement, intègre dès le premier jour l'observabilité et l'auditabilité dans la topologie. La classe EchoLeak montre que chaque connexion supplémentaire à des outils et à des agents élargit la surface d'attaque. Reste ouverte en 2026 la question de savoir à partir de quand le modèle de confiance optimiste de MCP crée, à grande échelle, plus de risques de sécurité que de bénéfices : un point à surveiller dans toute revue d'architecture responsable.