MCP — sigla de Model Context Protocol — é a especificação aberta que padroniza como um modelo de IA se conecta a ferramentas e fontes de dados externas. Antes dele, cada ligação entre um assistente e um sistema (CRM, banco de dados, plataforma de anúncios) era feita sob medida; com ele, vira uma interface comum, na mesma lógica em que o USB padronizou periféricos. A economia é combinatória: conectar cinco assistentes a cinco sistemas exigiria 25 integrações sob medida, e com o protocolo passa a exigir 10 conectores. Criado pela Anthropic e anunciado em novembro de 2024, o MCP deixou de pertencer a uma única empresa: foi doado à Linux Foundation em 9 de dezembro de 2025, com OpenAI e Block como cofundadoras da entidade que hoje o mantém. Hoje o suportam ChatGPT, Cursor, Gemini, Microsoft Copilot e VS Code, além do Claude — adoção que não elimina o risco: há cinco vulnerabilidades confirmadas na base do NIST, uma delas na implementação de referência oficial.
Os três primitivos
Um servidor MCP oferece três tipos de coisa ao modelo, e essa divisão se manteve estável entre as revisões da especificação:
- Tools — funções que o modelo pode solicitar que sejam executadas
- Resources — dados e contexto para o modelo ou o usuário consultarem
- Prompts — modelos de mensagem e fluxos de trabalho prontos
A comunicação usa mensagens JSON-RPC, por dois transportes padronizados: stdio, para servidores rodando localmente como subprocesso, e Streamable HTTP, para servidores remotos.
⚠️ A especificação declara que não garante segurança
Este é o ponto que quase nenhum material menciona, e o mais importante para quem vai conectar um agente ao CRM. A própria especificação afirma que o MCP não consegue impor princípios de segurança no nível do protocolo — a responsabilidade é de quem implementa.
E vai além: classifica a descrição de uma ferramenta como conteúdo não confiável, a menos que venha de servidor confiável. Como essa descrição entra no contexto do modelo, um servidor malicioso injeta instrução antes de qualquer troca de dados — é injeção de prompt pela porta da frente.
Não é risco teórico: há vulnerabilidades críticas confirmadas na base do NIST, incluindo uma que permite execução de comando na máquina do cliente ao conectar-se a um servidor não confiável — e outra encontrada na própria implementação de referência oficial.
O que isso muda na prática
Três decisões antes da primeira conexão:
- Servidor MCP é código rodando com as suas credenciais. Instalar um de terceiro é a mesma classe de decisão que adicionar uma dependência em produção — com o agravante de que ele também influencia o que o modelo pensa.
- Separe credenciais por operação. Token de leitura não deve ser token de escrita.
- Fixe a versão da especificação. Ela é versionada por data e mudou bastante entre 2025 e 2026 — inclusive quebrando compatibilidade de primitivos.
E uma nota de vocabulário, porque os dois extremos estão errados: MCP não é mais “produto da Anthropic”, mas também não é “padrão da indústria” no sentido formal — não é norma de ISO, IETF ou W3C. É especificação aberta sob fundação, em evolução rápida.
A análise completa — o que mudou na revisão de 2026, quantos servidores existem de verdade e as cinco vulnerabilidades confirmadas — está no artigo MCP: o que mudou na spec de 2026. Conceitos relacionados: agente de IA e function calling.
Fontes
- Especificação MCP, revisão 2026-07-28
- Doação do MCP à Linux Foundation — 09/12/2025
- CVE-2025-6514 — NVD/NIST
Leitura das fontes em 17/08/2026.