Model Context Protocol (MCP)

Czym jest Model Context Protocol (MCP)?

Model Context Protocol (MCP) to otwarty standard, który łączy agentów AI i aplikacje AI z systemami zewnętrznymi, np. z systemami plików, bazami danych, systemami biznesowymi i narzędziami deweloperskimi. Anthropic wprowadził MCP 25 listopada 2024 r.; autorami byli David Soria Parra i Justin Spahr-Summers. Cel: jednolity interfejs między modelem językowym a światem narzędzi i danych, tak aby każdy projekt agentowy nie musiał od nowa wymyślać podłączania narzędzi.

Centralną koncepcyjną rolę MCP da się ująć w jednym zdaniu: w 2026 r. MCP jest fundamentalnym protokołem komunikacji agent-narzędzie. Agent, rozumiany jako LLM, który w pętli autonomicznie korzysta z narzędzi, potrzebuje ustandaryzowanego sposobu, aby wywoływać funkcje, odpytywać dane i uruchamiać działania w systemach zewnętrznych. Właśnie tę warstwę standaryzuje MCP. Oficjalne i obecnie wspólne dla całej branży rozgraniczenie brzmi: MCP odpowiada za możliwości (agent-narzędzie), A2A za współpracę (agent-agent). Tego sformułowania zgodnie używają Google, Salesforce i Microsoft.

Architektura techniczna

MCP opiera się na JSON-RPC 2.0 przesyłanym przez kilka mechanizmów transportowych:

• stdio dla połączeń lokalnych,
• pierwotnie HTTP z Server-Sent Events, od rewizji specyfikacji z 26 marca 2025 r. (wersja 2025-03-26) zastąpiony przez Streamable HTTP.

Poza transportem rewizja z marca 2025 r. przyniosła trzy istotne nowości: obsługę OAuth 2.1, batching JSON-RPC oraz adnotacje narzędzi. Rewizja 2025-06-18 ponownie usunęła batching ze specyfikacji. Wydanie specyfikacji z listopada 2025 r. (wersja 2025-11-25) dodało m.in. eksperymentalne zadania dla długotrwałych żądań z późniejszym pobraniem wyniku, wywoływanie narzędzi podczas samplingu oraz OpenID Connect Discovery na potrzeby autoryzacji. Na początku 2026 r. MCP Apps (SEP-1865) ustandaryzowało dostarczanie interaktywnego UI z serwerów MCP do aplikacji hosta, takich jak Claude i ChatGPT.

Aktualna rewizja 2026-07-28 czyni MCP protokołem bezstanowym: znikają handshake initialize i sesje na poziomie protokołu, a każde żądanie samo niesie swoją wersję protokołu. Serwery zgłaszają obsługiwane wersje i możliwości przez obowiązkowe RPC server/discover. Eksperymentalne zadania przechodzą z protokołu bazowego do oficjalnego rozszerzenia. Sampling, roots i logging oznaczono jako przestarzałe (deprecated) i pozostają dostępne tylko w okresie przejściowym.

Pod względem architektury MCP rozróżnia aplikację hosta (np. Claude, agent w Copilot Studio), klienta i serwer MCP. Serwer MCP obudowuje połączenie z konkretnym systemem zewnętrznym i udostępnia jego możliwości w postaci narzędzi. Z perspektywy agenta każde źródło danych i każdy system docelowy wygląda więc tak samo: jako lista jasno opisanych narzędzi ze schematem, które agent może wywołać.

Praktycznie istotny efekt uboczny: MCP coraz częściej stosuje się także między agentami, udostępniając innego agenta jako „serwer” MCP z możliwościami w formie narzędzi. To działa, ale MCP nie został do tego zaprojektowany. Google i Microsoft konsekwentnie zalecają, aby do prawdziwej współpracy równorzędnych agentów używać A2A, a MCP ograniczyć do warstwy narzędzi.

Model zarządzania: Linux Foundation i Agentic AI Foundation (AAIF)

Najważniejszy krok w zakresie zarządzania nastąpił 9 grudnia 2025 r.: Anthropic przekazał MCP nowo utworzonej Agentic AI Foundation (AAIF), funduszowi typu Directed Fund działającemu w ramach Linux Foundation. Współzałożycielami AAIF są Anthropic, Block i OpenAI, a wsparcie na poziomie Platinum zapewniają Amazon Web Services, Bloomberg, Cloudflare, Google i Microsoft.

Do pozostałych członków Gold i Silver należą m.in. Adyen, Cisco, Datadog, Docker, IBM, JetBrains, Okta, Oracle, SAP, Snowflake, Twilio, Hugging Face, Pydantic, Uber i SUSE, czyli praktycznie cały stos agentowej AI. MCP dołączył do AAIF razem z goose od Block i AGENTS.md od OpenAI.

Ważne dla właściwej oceny: bieżące zarządzanie techniczne pozostaje w rękach dotychczasowych maintainerów MCP. AAIF Governing Board odpowiada za inwestycje strategiczne i pozyskiwanie członków. Przejście pod skrzydła Linux Foundation jest więc najsilniejszym dostępnym strukturalnym sygnałem przeciwko rozdrobnieniu na zastrzeżone warianty poszczególnych dostawców, nawet jeśli, jak zauważyła sama firma Cisco w grudniu 2025 r., poszczególne projekty protokołów działają częściowo „jeszcze jak wyspy”.

Adopcja w latach 2024–2026

Od końca 2024 r. MCP rozprzestrzeniał się lawinowo:

• Block i Apollo korzystały z MCP już w momencie premiery w listopadzie 2024 r. Zed, Replit, Codeium (Windsurf) i Sourcegraph pracowały wtedy już nad integracjami.
• Na początku 2025 r. dołączyły m.in. Cursor (obsługa MCP od poprawek 0.45.x) i Microsoft Copilot Studio (wersja preview od marca 2025 r.), a do tego dziesiątki kolejnych.
• OpenAI oficjalnie przyjęło MCP w marcu 2025 r.
• W kwietniu 2025 r. dołączył Google DeepMind (w tweecie Demisa Hassabisa).
• Claude firmy Anthropic oferuje katalog ponad 75 oficjalnych konektorów MCP.
• SDK notują ponad 97 mln pobrań miesięcznie łącznie dla Pythona i TypeScriptu.

MCP nie jest więc niszowym standardem, lecz de facto warstwą narzędzi powszechnie akceptowaną przez Anthropic, OpenAI, Google, Microsoft, AWS, SAP, Salesforce, ServiceNow, IBM i Cisco.

MCP w konwergentnym stosie protokołów

Po dwunastu miesiącach publicznej reorientacji konwergentny stos na 2026 r. jest jednoznaczny. MCP zajmuje w nim warstwę narzędzi, a A2A warstwę agent-agent:

Warto odnotować: także AGNTCY (Cisco/LangChain/Galileo, przekazany Linux Foundation 29 lipca 2025 r.) opiera się na MCP, zamiast go zastępować; agentów A2A i serwery MCP można znaleźć w katalogach AGNTCY. Uczciwa ocena brzmi: MCP + A2A to konwergentny stos branżowy. AGNTCY jest warstwą tożsamości i obserwowalności tam, gdzie jest potrzebna; NANDA pozostaje koncepcją.

Bezpieczeństwo: optymistyczny model zaufania

MCP jest właściwym katalizatorem ekosystemu agentów, ale jego w gruncie rzeczy optymistyczny model zaufania nie stanowi właściwej podstawy zaufania. W 2025 r. udokumentowano kilka klas ataków:

• Indirect prompt injection poprzez opisy serwerów MCP.
• Tool Poisoning: proof of concept Invariant Labs z wykorzystaniem WhatsAppa (kwiecień 2025 r.).
• Look-alike Server Squatting: fałszywe serwery podszywające się pod prawdziwe.
• Full-Schema Poisoning (CyberArk): każda część schematu narzędzia jest potencjalnym punktem wstrzyknięcia, nie tylko opis.
• „Toxic Agent Flow” w integracji GitHub MCP: złośliwy issue na GitHubie zmusza agenta do wycieku danych z prywatnych repozytoriów.

Te ryzyka narastają w architekturach wieloagentowych: każde nowe okno kontekstu subagenta to nowa powierzchnia ataku. Klasa EchoLeak, czyli exploity prompt injection typu zero-click (CVE-2025-32711, Microsoft 365 Copilot, ujawnione przez Aim Labs w czerwcu 2025 r.), była atakiem na pojedynczego agenta; leżące u jej podstaw błędy granic zaufania skalują się jednak liniowo wraz z liczbą agentów przyjmujących niezaufane treści.

W 2026 r. ograniczanie ryzyka to odpowiedzialność podmiotu wdrażającego: sandboxing, tokeny OAuth 2.1 o ograniczonym zakresie (zgodnie ze specyfikacją autoryzacji 2026-07-28), zasada najmniejszych uprawnień oraz, jako praktyczna reguła, brak autonomicznej instalacji serwerów MCP przez agenta z niezaufanych rejestrów. Czy to wystarczy przy dużej skali, pozostaje otwartym pytaniem, na które w 2026 r. nie ma jeszcze ostatecznej odpowiedzi.

Znaczenie dla Europy

W Europie MCP ma bardzo duże znaczenie i praktycznie nie da się go ominąć. Kto w 2026 r. uruchamia projekt agentowy w firmie z sektora MŚP lub w korporacji, pisze lub wykorzystuje serwery MCP, czy to planował, czy nie.

• SAP Joule Studio 2.0 (Sapphire 2026) natywnie integruje MCP, w tym serwery MCP dla ABAP, LeanIX i Integration Suite. Ponieważ baza instalacji SAP w regionie DACH (Niemcy, Austria, Szwajcaria) przewyższa każdą inną platformę, jest to w praktyce najważniejszy punkt wejścia do MCP w regionie. Decyzja SAP o osadzeniu Anthropic Claude jako głównego modelu rozumowania w środowisku zarządzanym przez SAP jest często decydującą opcją zakupową, zwłaszcza dla wdrażających z sektorów BFSI i ochrony zdrowia.
• Microsoft 365 Copilot, Copilot Studio, Salesforce Agentforce, n8n, LangGraph, Mastra i PydanticAI obsługują MCP. Wytyczne Microsoftu dotyczące systemów wieloagentowych są jednoznaczne: „Use MCP for tool and data access. Use Linux Foundation A2A for cross-platform agent-to-agent messaging.”
• n8n, berlińska firma od automatyzacji workflowów, natywnie zgodna z MCP i działająca na licencji fair-code, zyskała w 2026 r. dodatkowo na znaczeniu, gdy SAP ogłosił wbudowanie n8n w Joule Studio (wycena podwoiła się do 5,2 mld USD).

Uwagi dotyczące zgodności (informacyjnie, nie stanowią porady prawnej)

Gdy agenci, przechodząc przez kolejne przeskoki MCP i A2A, przekraczają granice wielu dostawców mocy obliczeniowej, obszarów rezydencji danych i podmiotów przetwarzających, każdy operator serwera MCP może stać się dalszym podmiotem przetwarzającym w rozumieniu RODO. To wydłuża łańcuch umów powierzenia (art. 28 RODO) i czyni go bardziej złożonym. Przy krokach transgranicznych zastosowanie mają ponadto art. 44–49 RODO. Ramy ochrony danych UE-USA pozostają w mocy w 2026 r., są jednak kwestionowane prawnie, dlatego standardowe klauzule umowne (SCC) i oceny skutków transferu nadal uznaje się za zabezpieczenie. Te uwagi mają charakter informacyjny i nie zastępują porady prawnej; przedstawione kwalifikacje są według obecnego stanu tymczasowe i należy je weryfikować w zależności od sektora (BFSI, ochrona zdrowia, energetyka). W praktyce warto zadbać o to, by wywołania narzędzi MCP były audytowalne: przekazywać identyfikatory korelacji przez każde wywołanie MCP i przypinać wersje modeli na produkcji.

Perspektywy i wskazówka praktyczna

W 2026 r. MCP ugruntował swoją pozycję jako standardowa warstwa narzędzi stosu agentowego, a pod parasolem Linux Foundation jest strukturalnie zabezpieczony przed fragmentacją. Dla projektu w Europie racjonalna rekomendacja domyślna brzmi: MCP dla narzędzi, A2A dla agentów. Wszystko inne to świadome odejście od konwergentnego stosu, które wymaga uzasadnienia.

Trzy konkretne wskazówki na start: po pierwsze, korzystaj ze standardowych serwerów MCP dostawców, a własne serwery MCP pisz tylko dla zastrzeżonych wewnętrznych API, nie budując przy tym więcej agentów i serwerów, niż wymaga problem. Po drugie, uruchamiaj serwery MCP za OAuth 2.1 z zakresami według zasady najmniejszych uprawnień i nigdy nie dopuszczaj do autonomicznej instalacji serwerów z nieznanych rejestrów. Po trzecie, od pierwszego dnia wbuduj w topologię obserwowalność i audytowalność. Klasa EchoLeak pokazuje, że każde dodatkowe podłączenie narzędzi i agentów powiększa powierzchnię ataku. W 2026 r. otwarte pozostaje pytanie, od kiedy optymistyczny model zaufania MCP przy dużej skali przynosi więcej ryzyka bezpieczeństwa niż korzyści. To punkt, który każdy odpowiedzialny przegląd architektury powinien mieć na liście obserwowanych kwestii.