Em 9 de dezembro de 2025, o MCP foi doado pela Anthropic à Linux Foundation, como projeto fundador da Agentic AI Foundation — ao lado de OpenAI e Block como cofundadoras, deixando de ser produto de uma única empresa. E a especificação vigente, a revisão 2026-07-28, é substancialmente diferente da que a maioria dos artigos em português ainda descreve: o modelo de conexão virou stateless e dois dos três primitivos de cliente foram cortados. MCP — sigla de Model Context Protocol — é a especificação aberta, anunciada em novembro de 2024, que padroniza como um modelo de linguagem se conecta a ferramentas e fontes de dados externas, como definimos no verbete do glossário. Este artigo trata do que mudou na revisão de 2026, de quantos servidores MCP existem de verdade — e do que a própria especificação admite não garantir no nível do protocolo.
⚠️ O que mudou na especificação de 2026
Se você leu sobre MCP em algum material publicado em 2025, boa parte do que aprendeu está desatualizada. As revisões da especificação são versionadas por data — 2024-11-05, 2025-03-26, 2025-06-18, 2025-11-25 e 2026-07-28 — e as mudanças entre elas não foram cosméticas.
| Aspecto | Revisão 2025-06-18 | Revisão 2026-07-28 (atual) |
|---|---|---|
| Modelo de conexão | Com estado (stateful) | Sem estado, requisições autocontidas |
| Negociação de capacidades | Uma vez, na conexão | Por requisição |
| Primitivos de cliente | Três: Sampling, Roots, Elicitation | Um: apenas Elicitation |
Os três primitivos de servidor, esses sim, se mantiveram estáveis nas duas revisões — e são o que de fato importa entender:
- Tools — funções que o modelo pode executar
- Resources — contexto e dados para o usuário ou o modelo usar
- Prompts — modelos de mensagem e fluxos de trabalho para usuários
Os transportes padronizados são dois: stdio, para servidores rodando como subprocesso local, e Streamable HTTP, em que cada mensagem é um POST para um endpoint único. Atenção a um ponto que ainda circula errado: SSE deixou de existir como transporte autônomo — virou parte do Streamable HTTP.
A revisão 2026 também trouxe extensões opcionais: Tasks (operações longas em execução assíncrona), Skills e MCP Apps, que permite renderizar elementos de interface — gráficos, formulários — dentro da própria conversa.
Quantos servidores MCP existem, de verdade
Circulam números muito diferentes, e a discrepância não é erro de ninguém — é que eles medem populações diferentes. Vale saber qual é qual antes de repetir qualquer um:
| Número | O que mede | Verificabilidade |
|---|---|---|
| 1.200 | Servidores no registry oficial (contagem em 17/08/2026) | Alta — API pública, paginável |
| Mais de 10.000 | “Servidores públicos ativos”, incluindo qualquer repositório | Declaração do fornecedor (dez/2025) |
| 50 mil, 100 mil… | Contagens de agregadores comerciais | Baixa — deduplicação desconhecida |
A regra prática: sempre diga qual população o número mede. “1.200 no registry oficial” é verificável por qualquer pessoa; “mais de 10 mil públicos” é declaração de parte interessada; acima disso, exija a metodologia.
Sobre suporte, os fornecedores nomeados na documentação oficial incluem ChatGPT, Cursor, Gemini, Microsoft Copilot, Visual Studio Code e Claude. E não encontramos fonte primária para percentuais do tipo “X% das empresas já usam MCP” — se você vir esse número, trate como não verificado.
⚠️ A própria especificação diz que não garante segurança
Esta é a parte que quase nenhum material menciona, e é a mais importante para quem vai conectar um agente ao CRM. A especificação tem uma seção de segurança, e o que ela declara é notável pela franqueza:
Embora o próprio MCP não consiga impor esses princípios de segurança no nível do protocolo, os implementadores devem…
Ou seja: a responsabilidade é de quem implementa, não do protocolo. E há um princípio ainda mais direto sobre o risco de injeção — a especificação classifica a descrição de uma ferramenta como conteúdo não confiável, a menos que venha de um servidor confiável.
Isso importa porque descrição de ferramenta entra no contexto do modelo. Um servidor MCP malicioso não precisa esperar você trocar dados com ele: ele injeta pela descrição, antes de qualquer operação. É injeção de prompt pela porta da frente.
Cinco vulnerabilidades confirmadas — inclusive na implementação oficial
Não é risco teórico. Estas são registradas no NVD, a base de vulnerabilidades do NIST:
| CVE | Gravidade | O que permite |
|---|---|---|
| CVE-2025-6514 | 9,6 crítica | Conectar-se a servidor MCP não confiável → execução de comando na máquina do cliente |
| CVE-2026-33032 | 9,8 crítica | Nginx UI: lista de permissão padrão vazia → autenticação contornável |
| CVE-2025-49596 | 9,4 crítica | MCP Inspector (ferramenta oficial): execução remota por falta de autenticação |
| CVE-2025-53818 | 8,9 alta | Servidor MCP de Kanban: injeção de comando via add_comment |
| CVE-2025-68143 | 8,8 alta | Implementação de referência oficial (mcp-server-git): caminhos arbitrários sem validação |
Duas dessas merecem destaque. A CVE-2025-6514 materializa exatamente o cenário de risco: apontar seu cliente para um servidor desconhecido pode custar a máquina. E a CVE-2025-68143 apareceu na implementação de referência oficial — o exemplo que os mantenedores publicam para os outros copiarem. Se nem ali sai certo de primeira, a expectativa razoável sobre servidores de terceiros deve ser calibrada de acordo.
O que isso muda na prática
O MCP resolve um problema real e caro: sem ele, conectar cinco assistentes a cinco sistemas exige vinte e cinco integrações sob medida. Com ele, exige dez conectores. Para uma operação de martech que quer o agente lendo o CRM, consultando a plataforma de anúncios e escrevendo no CMS, essa economia é o argumento inteiro.
Mas três decisões deveriam vir antes da primeira conexão:
- Servidor MCP é código executando com as suas credenciais. Instalar um servidor de terceiro é a mesma classe de decisão que instalar uma dependência num sistema de produção — com a diferença de que aqui ele também influencia o que o modelo pensa. Trate a origem como critério, não detalhe.
- Separe as credenciais por operação. Token de leitura não deve ser token de escrita. Se o agente só precisa consultar, não dê a ele permissão de alterar.
- Fixe a versão da especificação nos contratos e na documentação. Entre 2025 e 2026 o protocolo mudou de stateful para stateless e cortou dois dos três primitivos de cliente. Quem escreveu integração contra a revisão antiga tem trabalho a refazer.
E uma nota sobre vocabulário, porque os dois extremos estão errados. MCP não é mais “produto da Anthropic” — pertence à Linux Foundation desde dezembro de 2025, com governança de múltiplas partes. Mas também não é “padrão da indústria” no sentido formal: não é norma de ISO, IETF ou W3C. É uma especificação aberta sob fundação, em evolução rápida — e a prova disso é que ela quebrou compatibilidade de primitivos em menos de um ano.
Para o contexto de por que agentes precisam disso, veja agente de IA; para o risco que o protocolo declara não cobrir, injeção de prompt.
Fontes
- Especificação MCP, revisão 2026-07-28 · Transportes
- Doação do MCP à Linux Foundation (09/12/2025) · Agentic AI Foundation
- Registry oficial de servidores MCP
- CVE-2025-6514 — NVD/NIST
Leitura das fontes e contagem do registry em 17/08/2026.
Leia também
- Modelos de IA em 2026 — panorama com preços e versões
