Code Execution s MCP: tokenová efektívnosť pre zložitých agentov

Code Execution s MCP označuje vzor pre agentov, pri ktorom AI agent namiesto mnohých jednotlivých volaní nástrojov píše a spúšťa kód, ktorý programovo volá nástroje MCP v sandboxe. Citeľne to znižuje spotrebu tokenov a latenciu, pretože definície nástrojov a medzivýsledky sa spracúvajú v kontexte kódu a neprechádzajú v plnom rozsahu cez kontextové okno jazykového modelu. Ide o optimalizáciu pre zložité, dátovo náročné workflow, nie o náhradu klasických volaní nástrojov.

Rýchle odpovede

• Čo to je: Agent vygeneruje program, ktorý volá nástroje MCP ako funkcie; do modelu sa vráti iba zhustený konečný výsledok.
• Na čo je dobrý: Úspora tokenov a nižšia latencia pri mnohých nástrojoch, mnohých krokoch a veľkých medzivýsledkoch.
• Čo potrebuje: Izolovaný sandbox, tokeny s obmedzeným rozsahom a princíp najnižších oprávnení, pretože spustiteľný kód modelu je samostatná útočná plocha.

Problém: volania nástrojov zle škálujú

Model Context Protocol (MCP) zaviedol Anthropic 25. novembra 2024 ako otvorený štandard na prepojenie AI aplikácií s externými systémami, napríklad so súborovými systémami, databázami, podnikovými aplikáciami a vývojárskymi nástrojmi. Technicky MCP stavia na JSON-RPC 2.0 cez dva štandardné transporty: stdio pre lokálne servery a HTTP transport, ktorý revízia špecifikácie 2025-03-26 (marec 2025) prestavila z doterajšieho HTTP+SSE na Streamable HTTP. Tá istá revízia priniesla OAuth 2.1 a anotácie nástrojov. Zaviedla aj dávkovanie JSON-RPC (batching), ktoré neskôr odstránila revízia 2025-06-18. K roku 2026 je MCP de facto štandardom pre komunikáciu medzi agentmi a nástrojmi; 9. decembra 2025 Anthropic daroval protokol novozaloženej Agentic AI Foundation (AAIF) pod záštitou Linux Foundation. V tom čase podľa spoločnosti Anthropic zaznamenávali SDK vyše 97 miliónov stiahnutí mesačne v Pythone a TypeScripte.

V klasickom vzore agent volá každý nástroj jednotlivo. Každé volanie prechádza cez jazykový model (LLM): model vidí definíciu nástroja, sformuluje volanie, dostane úplný výsledok späť do svojho kontextového okna a rozhodne o ďalšom kroku. Pri jednoduchých úlohách je to ideálne: transparentné a dobre auditovateľné. Pri zložitých workflow však vznikajú dvaja žrúti tokenov:

1. Definície nástrojov vopred. Ak má agent k dispozícii desiatky alebo stovky nástrojov MCP, ich popisy sa musia vopred načítať do kontextu. To sú často tisíce tokenov ešte predtým, než agent vôbec začne pracovať.
2. Medzivýsledky v kontexte. Nástroj, ktorý vráti dlhý zoznam, veľký dokument alebo rozsiahlu odpoveď API, zapíše tento výstup v plnom rozsahu do kontextového okna, aj keď agent z neho potrebuje len tri hodnoty. Pri viacstupňových reťazcoch sa to sčítava.

Riešenie: agent píše kód

Vzor Code Execution, ktorý Anthropic zverejnil koncom roka 2025 ako inžiniersky prístup, obracia logiku. Agent vygeneruje program, zvyčajne v Pythone alebo TypeScripte, ktorý pracuje s nástrojmi MCP ako s importovateľnými funkciami. Tento kód beží v sandboxe. Filtrovanie, cykly, vetvenia a agregácie prebiehajú tam, v behovom prostredí kódu. Do kontextového okna modelu sa vracia iba zhustený konečný výsledok.

Rozdiel sa dá ukázať na pseudokóde. Úloha: agent má v CRM nájsť všetky kontakty, ktorých posledná objednávka priniesla obrat vyšší ako 10 000 eur.

Klasicky, s mnohými volaniami nástrojov cez model:

LLM: zavolaj get_contacts()

-> 5 000 kontaktov (v plnom rozsahu do kontextu)

LLM: pre každý kontakt zavolaj get_last_order(id)

-> 5 000 ďalších volaní nástrojov, každé jednotlivo cez model

LLM: vyfiltruj tie s obratom > 10 000

-> opäť veľké objemy dát v kontexte

Code Execution, s jedným vygenerovaným programom:

# kód vygenerovaný agentom a spustený v sandboxe

kontakty = mcp.crm.get_contacts()

obraty = {k.id: mcp.crm.get_last_order(k.id).obrat for k in kontakty}

return [{"name": k.name, "obrat": obraty[k.id]} for k in kontakty if obraty[k.id] > 10000]

V druhom prípade model nevidí ani 5 000 kontaktov, ani 5 000 odpovedí s objednávkami. Vidí iba kód, ktorý napísal, a na konci vyfiltrovaný zoznam. Samotné volania nástrojov prebiehajú programovo, nie ako jednotlivé kolá cez LLM. To šetrí tokeny aj latenciu, pretože cykly bežia bez ďalších kôl cez model.

Druhým efektom je objavovanie nástrojov podľa potreby: namiesto toho, aby agent vopred načítal všetky definície nástrojov, môže prehľadávať dostupné servery MCP a ich funkcie ako adresár modulov a importovať iba tie, ktoré skutočne potrebuje. Úvodná réžia tak zostáva malá, aj keby boli teoreticky k dispozícii stovky nástrojov.

Príklad s číslami

Zjednodušený výpočet ukazuje, kde je páka. Predpoklad: agent má z CRM zistiť najdôležitejších zákazníkov a doplniť k nim údaje o objednávkach. Čísla sú ilustračné. Dávajú rádovú predstavu a nie sú benchmarkom. Klasický stĺpec pritom zobrazuje najpriaznivejší prípad: počíta iba úvodné načítanie a jediný surový zoznam s 5 000 záznamami. Nie je v ňom započítaných 5 000 jednotlivých volaní get_last_order z pseudokódu vyššie. Každé z nich by prinieslo vlastnú odpoveď s objednávkou a ďalšie kolo cez model. Klasický súčet by tak bol mnohonásobne vyšší.

V tabuľke nie je rozhodujúcou položkou úvodné načítanie, ale medzivýsledky: spracúvajú sa v kóde a nezaberajú kontext modelu. Práve tu je páka. Čím väčšie objemy dát a čím viac iterácií, tým výraznejší je rozdiel. Pri jednoduchom samostatnom dopyte sa naopak výpočet obracia: réžia generovania a spúšťania programu prevyšuje úžitok.

Konkrétne hodnoty uvádza Anthropic vo svojom inžinierskom článku zo 4. novembra 2025. V príklade agent načíta prepis stretnutia z Google Drive a pripojí ho k leadu v Salesforce. Pri priamych volaniach nástrojov prejde prepis cez model dvakrát. Pri dvojhodinovom stretnutí to môže byť ďalších 50 000 tokenov. Ak sú nástroje k dispozícii ako súbory a agent načíta iba definície, ktoré potrebuje pre aktuálnu úlohu, spotreba podľa spoločnosti Anthropic klesne zo 150 000 na 2 000 tokenov, teda o 98,7 percenta.

Kedy má zmysel a kedy nie

Code Execution je optimalizácia, nie štandardný vzor na všetko. Hodí sa pre dátovo náročné, opakujúce sa workflow s viacerými nástrojmi. Pre jednoduché jednorazové akcie zostávajú priame volania nástrojov rýchlejšie, lacnejšie a transparentnejšie: trasovanie ukazuje každý krok priamo, bez obchádzky cez vygenerovaný kód.

Bezpečnosť: sandbox je povinnosť

Najväčší rozdiel oproti klasickým volaniam nástrojov sa týka bezpečnosti: pri vzore Code Execution systém vykonáva spustiteľný kód vygenerovaný jazykovým modelom. To je samostatná útočná plocha. Pre MCP je k roku 2026 zdokumentovaný zámerne optimistický model dôvery, ktorý kladie syntaktickú správnosť naroveň sémantickej bezpečnosti. K tomu pribúdajú konkrétne triedy útokov: nepriama prompt injection cez popisy serverov, Tool Poisoning (PoC od Invariant Labs, apríl 2025), squatting serverov s podobnými názvami (look-alike server squatting) a Full-Schema-Poisoning od CyberArk, pri ktorom môže byť vektorom útoku typu injection každá časť schémy nástroja. Zabezpečenie (hardening) je pritom výslovne úlohou prevádzkovateľa.

Pre Code Execution to konkrétne znamená:

• Izolovaný sandbox. Vygenerovaný kód beží v oddelenom behovom prostredí bez širokého prístupu k súborom a sieti, s limitmi zdrojov a času proti nekonečným cyklom a vyčerpaniu zdrojov.
• Tokeny s obmedzeným rozsahom. Servery MCP za OAuth 2.1 (od revízie špecifikácie 2025-03-26, marec 2025) s minimálnymi potrebnými oprávneniami. Kód dostane prístup len k tomu, čo úloha vyžaduje.
• Princíp najnižších oprávnení a žiadna autonómna inštalácia. Agenti nesmú sami dodatočne načítavať ani inštalovať servery MCP z nedôveryhodných registrov.
• Úplné auditné logovanie. Každé volanie nástroja z kódu v sandboxe sa zaznamenáva, s end-to-end trasovaním, pevne stanovenými verziami modelov a koreláciou cez trace ID. V regulovaných odvetviach v regióne DACH môžu audítori a dozorné orgány takéto dôkazy vyžadovať.

Kto prevádzkuje spustiteľný kód modelu bez týchto ochranných vrstiev, vymieňa tokenovú efektívnosť za značné riziko pre bezpečnosť a ochranu údajov. V regulovaných odvetviach v regióne DACH je to neprípustné.

Pre agentúry a B2B manažérov

Pre agentúry v regióne DACH a AI dodávateľov s vlastnými produktmi je Code Execution s MCP priamou pákou na jednotkovú ekonomiku (unit economics) agentických produktov. Kto prevádzkuje multi-tenant služby (napríklad agentov pre SEO, newslettre alebo rešerše), platí za každý beh v tokenoch; vzor Code Execution tieto náklady pri dátovo náročných workflow merateľne znižuje a zároveň skracuje latenciu, čo zlepšuje vnímanú kvalitu produktu. Praktický začiatok: pri existujúcich agentoch postavených na MCP skontroluj, ktoré workflow prechádzajú mnohými nástrojmi a veľkými medzivýsledkami, práve tieto prestav na Code Execution a od prvého dňa zabuduj sandbox, rozsahy oprávnení (scopes) OAuth 2.1 a auditné logovanie. Pre B2B manažérov s rozhodovacou právomocou platí: vzor je architektonické rozhodnutie pre každý workflow, nie zmena platformy. Stavia na už etablovanom štandarde MCP a dá sa zavádzať postupne bez zahodenia existujúcej integrácie nástrojov.