Model Context Protocol (MCP)

Čo je Model Context Protocol (MCP)?

Model Context Protocol (MCP) je otvorený štandard, ktorý prepája AI agentov a AI aplikácie s externými systémami, napríklad so súborovými systémami, databázami, podnikovými systémami a vývojárskymi nástrojmi. Anthropic zaviedol MCP 25. novembra 2024; autormi boli David Soria Parra a Justin Spahr-Summers. Cieľ: jednotné rozhranie medzi jazykovým modelom a svetom nástrojov a dát, aby každý agentový projekt nemusel svoje napojenie na nástroje vymýšľať odznova.

Ústrednú koncepčnú úlohu MCP možno zhrnúť do jednej vety: MCP je v roku 2026 základný protokol pre agent-to-tool. Agent, chápaný ako LLM, ktorý v slučke autonómne používa nástroje, potrebuje štandardizovaný spôsob, ako volať funkcie, dopytovať dáta a spúšťať akcie v externých systémoch. Práve túto vrstvu MCP štandardizuje. Oficiálne a dnes už v celom odvetví zdieľané vymedzenie znie: MCP je pre capabilities (agent-to-tool), A2A je pre collaboration (agent-to-agent). Túto formuláciu zhodne používajú Google, Salesforce a Microsoft.

Technická architektúra

MCP je postavený na JSON-RPC 2.0 cez viacero transportov:

• stdio pre lokálne spojenia,
• pôvodne HTTP so Server-Sent Events, od revízie špecifikácie z 26. marca 2025 (verzia 2025-03-26) nahradený transportom Streamable HTTP.

Revízia z marca 2025 priniesla okrem transportu tri zásadné novinky: podporu OAuth 2.1, JSON-RPC batching a anotácie nástrojov (tool annotations). Revízia 2025-06-18 batching zo špecifikácie opäť odstránila. Vydanie špecifikácie z novembra 2025 (verzia 2025-11-25) doplnilo okrem iného experimentálne úlohy (tasks) pre dlho bežiace požiadavky s neskorším získaním výsledku, volanie nástrojov pri samplingu a OpenID Connect Discovery pre autorizáciu. Začiatkom roka 2026 rozšírenie MCP Apps (SEP-1865) štandardizovalo doručovanie interaktívneho používateľského rozhrania z MCP serverov do hostiteľských aplikácií, ako sú Claude a ChatGPT.

Aktuálna revízia 2026-07-28 robí MCP bezstavovým: odpadá handshake initialize aj relácie na úrovni protokolu a každá požiadavka nesie svoju verziu protokolu sama. Servery hlásia podporované verzie a schopnosti cez povinné RPC server/discover. Experimentálne úlohy (tasks) sa presúvajú z jadra protokolu do oficiálneho rozšírenia. Sampling, Roots a Logging sú označené ako zastarané (deprecated) a zostávajú zachované len počas prechodného obdobia.

Architektonicky MCP rozlišuje medzi hostiteľskou aplikáciou (napr. Claude, agent v Copilot Studio), klientom a MCP serverom. MCP server zapuzdruje napojenie na konkrétny externý systém a sprístupňuje jeho schopnosti vo forme nástrojov. Z pohľadu agenta tak každý zdroj dát a každý cieľový systém vyzerá rovnako: zoznam jasne opísaných nástrojov so schémou, ktoré môže agent volať.

Prakticky dôležitý vedľajší efekt: MCP sa čoraz častejšie používa aj agent-to-agent, keď sa iný agent sprístupní ako MCP „server“ so schopnosťami vo forme nástrojov. Funguje to, ale MCP na to navrhnutý nebol. Google a Microsoft zhodne odporúčajú používať na skutočnú spoluprácu rovnocenných agentov A2A a MCP obmedziť na vrstvu nástrojov.

Správa projektu: Linux Foundation a Agentic AI Foundation (AAIF)

Najdôležitejší krok v správe MCP nastal 9. decembra 2025: Anthropic daroval MCP novozaloženej nadácii Agentic AI Foundation (AAIF), fondu typu Directed Fund pod Linux Foundation. AAIF spoluzaložili Anthropic, Block a OpenAI, s platinovou podporou spoločností Amazon Web Services, Bloomberg, Cloudflare, Google a Microsoft.

Medzi ďalších zlatých a strieborných členov patria okrem iného Adyen, Cisco, Datadog, Docker, IBM, JetBrains, Okta, Oracle, SAP, Snowflake, Twilio, Hugging Face, Pydantic, Uber a SUSE, teda prakticky celý stack agentickej AI. MCP vstúpil do AAIF spolu s projektom goose od spoločnosti Block a AGENTS.md od OpenAI.

Pre správne pochopenie je dôležité: každodenná technická správa zostáva u doterajších správcov (maintainers) MCP. AAIF Governing Board zodpovedá za strategické investície a získavanie členov. Presun pod Linux Foundation je tak štrukturálne najsilnejším dostupným signálom proti rozdrobeniu na proprietárne varianty jednotlivých dodávateľov, aj keď protokolové projekty, ako v decembri 2025 poznamenala samotná spoločnosť Cisco, čiastočne fungujú „ešte ako ostrovy“.

Nasadenie v praxi 2024 až 2026

Rozšírenie MCP prebiehalo od konca roka 2024 explozívne:

• Block a Apollo nasadili MCP už pri uvedení v novembri 2024. Zed, Replit, Codeium (Windsurf) a Sourcegraph vtedy už pracovali na integráciách.
• Začiatkom roka 2025 nasledovali okrem iného Cursor (podpora MCP v aktualizáciách 0.45.x) a Microsoft Copilot Studio (preview od marca 2025), k tomu desiatky ďalších.
• OpenAI prevzal MCP oficiálne v marci 2025.
• Google DeepMind nasledoval v apríli 2025 (tweetom Demisa Hassabisa).
• Claude od spoločnosti Anthropic ponúka adresár s vyše 75 oficiálnymi MCP konektormi.
• SDK zaznamenávajú vyše 97 mil. mesačných stiahnutí naprieč Pythonom a TypeScriptom.

MCP tak nie je okrajovým štandardom, ale de facto univerzálne akceptovanou vrstvou nástrojov naprieč Anthropic, OpenAI, Google, Microsoft, AWS, SAP, Salesforce, ServiceNow, IBM a Cisco.

MCP v konvergentnom protokolovom stacku

Po dvanástich mesiacoch verejného preorientovania je konvergentný stack pre rok 2026 jednoznačný. MCP v ňom obsadzuje vrstvu nástrojov, A2A vrstvu agent-to-agent:

Pozoruhodné: aj AGNTCY (Cisco/LangChain/Galileo, 29. júla 2025 darovaný Linux Foundation) stavia na MCP namiesto toho, aby ho nahrádzal; A2A agentov a MCP servery možno nájsť cez adresáre AGNTCY. Úprimné hodnotenie znie: MCP + A2A je konvergentný priemyselný stack. AGNTCY je vrstvou identity a pozorovateľnosti tam, kde je potrebná; NANDA zostáva konceptom.

Bezpečnosť: optimistický model dôvery

MCP je správnym hybateľom agentového ekosystému, no jeho v jadre optimistický model dôvery nie je tým správnym základom dôvery. V roku 2025 bolo zdokumentovaných viacero tried útokov:

• Nepriama prompt injection cez opisy MCP serverov.
• Tool Poisoning: WhatsApp proof-of-concept od Invariant Labs (apríl 2025).
• Look-alike Server Squatting: falošné servery, ktoré napodobňujú pravé.
• Full-Schema Poisoning (CyberArk): každá časť schémy nástroja je potenciálnym miestom injekcie, nielen opis.
• „Toxic Agent Flow“ v integrácii GitHub MCP: škodlivý GitHub issue prinúti agenta vyniesť dáta zo súkromných repozitárov.

Tieto riziká sa vyostrujú v multiagentových architektúrach: každé nové kontextové okno subagenta je novou útočnou plochou. Trieda zero-click exploitov typu prompt injection EchoLeak (CVE-2025-32711, Microsoft 365 Copilot, zverejnená v júni 2025 spoločnosťou Aim Labs) bola útokom na jedného agenta; chyby na hraniciach dôvery, ktoré za ňou stoja, však rastú lineárne s počtom agentov, ktorí prijímajú nedôveryhodný obsah.

Zmierňovanie rizík je v roku 2026 zodpovednosťou toho, kto MCP nasadzuje: sandboxing, OAuth 2.1 tokeny s obmedzeným rozsahom (podľa špecifikácie autorizácie 2026-07-28), princíp najnižších oprávnení a, ako orientačné pravidlo, žiadna autonómna inštalácia MCP serverov z nedôveryhodných registrov zo strany agenta. Či to pri veľkom rozsahu stačí, je otvorená otázka, na ktorú v roku 2026 ešte neexistuje definitívna odpoveď.

Relevancia pre región DACH

Pre región DACH je relevancia MCP veľmi vysoká, MCP sa tu prakticky nedá obísť. Kto v roku 2026 spúšťa agentový projekt v stredne veľkej firme alebo v koncerne, píše alebo používa MCP servery, či už to plánoval, alebo nie.

• SAP Joule Studio 2.0 (Sapphire 2026) integruje MCP natívne vrátane MCP serverov pre ABAP, LeanIX a Integration Suite. Keďže inštalovaná báza SAP v regióne DACH prevyšuje každú inú platformu, je to prakticky najdôležitejší vstupný bod MCP v regióne. Rozhodnutie SAP zabudovať Anthropic Claude ako primárny model na uvažovanie (reasoning) do prostredia pod správou SAP je práve pre firmy, ktoré nasadzujú AI v sektore BFSI a v zdravotníctve, často rozhodujúcou možnosťou pri obstarávaní.
• Microsoft 365 Copilot, Copilot Studio, Salesforce Agentforce, n8n, LangGraph, Mastra a PydanticAI všetky podporujú MCP. Vlastné usmernenie Microsoftu pre multiagentové systémy je explicitné: „Use MCP for tool and data access. Use Linux Foundation A2A for cross-platform agent-to-agent messaging.“
• n8n, berlínska, MCP-natívna firma na automatizáciu workflowov s fair-code licenciou, v roku 2026 ešte získala na význame, keď SAP oznámil zabudovanie n8n do Joule Studio (ocenenie sa zdvojnásobilo na 5,2 mld. USD).

Poznámky k compliance (len na informáciu, nejde o právne poradenstvo)

Len čo agenti cez skoky (hops) MCP a A2A prekračujú hranice viacerých poskytovateľov výpočtového výkonu, dátovej rezidencie a sprostredkovateľov, stáva sa každý prevádzkovateľ MCP servera potenciálne ďalším sprostredkovateľom v zmysle GDPR. To predlžuje reťazec zmlúv so sprostredkovateľmi (čl. 28 GDPR) a robí ho zložitejším. Pri cezhraničných krokoch sa navyše uplatňujú čl. 44–49 GDPR. EU–US Data Privacy Framework zostáva v roku 2026 v platnosti, je však predmetom právneho napadnutia, preto sa štandardné zmluvné doložky (SCC) a posúdenia vplyvu prenosu (transfer impact assessments) naďalej považujú za zabezpečenie. Tieto poznámky slúžia len na informáciu a nenahrádzajú právne poradenstvo; uvedené zaradenia sú podľa súčasného stavu provizórne a treba ich preveriť podľa sektora (BFSI, zdravotníctvo, energetika). Pre prax sa odporúča urobiť volania nástrojov cez MCP auditovateľnými: odovzdávať korelačné ID pri každom volaní MCP a v produkcii pevne nastaviť verzie modelov.

Výhľad a poznámka pre prax

MCP sa v roku 2026 etabloval ako štandardná vrstva nástrojov v stacku agentickej AI a pod Linux Foundation je štrukturálne chránený pred rozdrobením. Pre projekt v regióne DACH znie racionálne predvolené odporúčanie: MCP pre nástroje, A2A pre agentov. Všetko ostatné je vedomou odchýlkou od konvergentného stacku a vyžaduje zdôvodnenie.

Tri konkrétne praktické odporúčania na začiatok: Po prvé, používať štandardné MCP servery dodávateľov a vlastné MCP servery písať len pre proprietárne interné API, pričom nestavať viac agentov a serverov, než si problém vyžaduje. Po druhé, chrániť MCP servery pomocou OAuth 2.1 s rozsahmi prístupu (scopes) podľa princípu najnižších oprávnení a nikdy nepovoliť autonómnu inštaláciu serverov z neznámych registrov. Po tretie, od prvého dňa zabudovať do topológie pozorovateľnosť (observability) a auditovateľnosť. Trieda EchoLeak ukazuje, že každé ďalšie napojenie nástroja a agenta zväčšuje útočnú plochu. Otvorená zostáva v roku 2026 otázka, od akého bodu optimistický model dôvery MCP pri veľkom rozsahu vytvára viac bezpečnostného rizika než úžitku, čo patrí na zoznam sledovaných bodov každého zodpovedného posúdenia architektúry.