MCP (Model Context Protocol) é um padrão aberto que liga modelos de IA a bancos de dados, APIs e ferramentas externas. A Anthropic anunciou o protocolo em 25 de novembro de 2024 para acabar com o conector feito do zero que cada par assistente-sistema exigia. Em menos de dois anos ele virou padrão de fato: ChatGPT, Cursor, Gemini e Microsoft Copilot adotaram, e a governança passou para uma fundação sob a Linux Foundation em dezembro de 2025. Você vai entender aqui o que significa MCP, como um MCP server funciona por dentro, quem já usa e quais riscos de segurança pesar antes do deploy.
O que significa MCP e qual problema o protocolo resolve?
A sigla MCP significa Model Context Protocol: um padrão aberto que define como aplicações de IA acessam fontes de dados e ferramentas externas, de bancos de dados a CRMs e sistemas de arquivos. O problema que ele ataca tem nome: integração N×M. Sem um padrão comum, cada combinação entre um assistente de IA e uma fonte de dados pedia um conector próprio, caro de construir e pior de manter.
Dez assistentes e dez sistemas? Cem integrações para manter. Com o MCP, cada lado implementa o protocolo uma única vez, e qualquer aplicação compatível conversa com qualquer servidor compatível. Pense numa porta USB-C: um único padrão de encaixe serve para todo acessório. O MCP cumpre esse papel entre a IA e os sistemas que ela precisa alcançar.
O lançamento de 2024 já veio com peças prontas. A Anthropic publicou servidores para Google Drive, Slack, GitHub, PostgreSQL e Puppeteer, com Block e Apollo entre os primeiros parceiros, e ferramentas de desenvolvimento como Zed, Replit, Codeium e Sourcegraph aderiram desde o início.
Como funciona um MCP server: arquitetura de host, cliente e servidor
Um MCP server é um programa que expõe dados e funções a uma aplicação de IA dentro de uma arquitetura cliente-servidor com três papéis. Os MCP servers (ou servidores MCP, os dois nomes circulam) são só um dos lados da conversa:
- MCP Host: a aplicação de IA que coordena um ou mais clientes. Claude Desktop, Visual Studio Code e Claude Code são exemplos.
- MCP Client: o componente que mantém uma conexão dedicada com um servidor específico e repassa o contexto obtido ao host.
- MCP Server: o programa que entrega os dados e as funcionalidades. Roda na sua máquina, via transporte stdio, ou remoto, via HTTP com streaming e Server-Sent Events.
Essa separação tem um motivo prático. A especificação organiza o protocolo em duas camadas: a camada de dados, baseada em JSON-RPC 2.0, define a estrutura das mensagens, a descoberta de capacidades e as primitivas. A camada de transporte cuida do estabelecimento de conexão, do framing das mensagens e da autenticação, com recomendação de OAuth para tokens de acesso.
As três primitivas: tools, resources e prompts
| Primitiva | O que expõe ao modelo | Exemplos |
|---|---|---|
| Tools | Funções executáveis, para agir | Chamada de API, consulta a banco, operação em arquivo |
| Resources | Dados somente leitura, para dar contexto | Conteúdo de arquivo, registro de banco, resposta de API |
| Prompts | Modelos reutilizáveis de interação | Exemplos few-shot, prompts de sistema |
Do lado do cliente existe ainda a Elicitation, que deixa o servidor pedir confirmação ou informação extra ao usuário antes de seguir. Quem já montou pipelines de RAG reconhece a lógica dos resources na hora: contexto certo entrando, resposta melhor saindo. A diferença é que aqui o acesso ao dado vira um contrato padronizado em vez de código colado em cada projeto.
O que mudou na especificação de 28 de julho de 2026
A versão mais recente da especificação, datada de 28 de julho de 2026, descontinuou duas primitivas antigas. Sampling saiu em favor da integração direta com as APIs dos provedores de LLM. Logging deu lugar ao OpenTelemetry. Se você mantém um servidor escrito em 2025, vale conferir essas mudanças antes do próximo deploy.
Quem adota o MCP em 2026: OpenAI, Google, Microsoft e a Linux Foundation
O MCP deixou de ser um projeto da Anthropic e virou infraestrutura neutra da indústria. Em 9 de dezembro de 2025, a empresa doou o protocolo para a Agentic AI Foundation, fundo dirigido sob a Linux Foundation, co-fundado por Anthropic, Block e OpenAI, com apoio de Google, Microsoft, AWS, Cloudflare e Bloomberg. O modelo de governança seguiu o mesmo, com decisões abertas e participação da comunidade.
A escala chegou em pouco tempo. Os números divulgados no momento da doação, em dezembro de 2025:
- Mais de 10 mil servidores MCP públicos ativos
- Mais de 97 milhões de downloads mensais dos SDKs em Python e TypeScript
- Mais de 75 conectores no próprio Claude construídos sobre o protocolo
- Suporte em ChatGPT, Cursor, Gemini, Microsoft Copilot e Visual Studio Code
Concorrente direto adotando o padrão do rival é raro, e aqui aconteceu. A OpenAI documenta o suporte a servidores MCP no seu Agents SDK em três modalidades: servidores hospedados, via Streamable HTTP e via stdio. Para achar servidores publicados, o projeto mantém o MCP Registry, lançado em prévia em setembro de 2025, um serviço central de código aberto que padroniza a descoberta e a distribuição. Se a sua empresa avalia desenvolvimento de agentes de IA, o registry é o ponto de partida natural para mapear o que já existe pronto.
MCP é seguro? Os riscos que a NSA e a academia já documentaram
O protocolo em si não te protege. O MCP pode rodar com segurança, mas a configuração padrão deixa decisões demais nas mãos de quem implementa, e a documentação de riscos cresceu junto com a adoção.
A proliferação rápida do MCP superou o desenvolvimento do seu modelo de segurança, alerta a folha de segurança que a NSA publicou sobre o protocolo em junho de 2026, comparando o caso aos protocolos iniciais da web.
Segundo o mesmo documento da NSA, o design flexível e subespecificado garante liberdade de implementação, mas cria ambiguidade sobre o uso seguro. A parte incômoda é que os problemas concretos já apareceram, em três frentes:
- No registro: um estudo da University of Delaware aceito no DSN 2026 mostra que mecanismos fracos de verificação e de checagem de propriedade permitem que servidores adversários ou sequestrados entrem em circulação.
- Depois da integração: o mesmo estudo aponta que metadados de ferramenta controlados por um atacante conseguem moldar o raciocínio do LLM e induzir operações maliciosas, que o host executa sem conferência independente.
- Na ferramenta oficial: a CVE-2025-49596, registrada na base do NIST, descreve execução remota de código no MCP Inspector antes da versão 0.14.1, por falta de autenticação entre o cliente do Inspector e seu proxy. Bastava a vítima visitar um site malicioso. A falha foi corrigida, mas ilustra o padrão.
Nos agentes que colocamos em produção na AlphaCorp AI, a regra prática que adotamos é tratar todo metadado de ferramenta como entrada não confiável, do mesmo jeito que você trata input de formulário numa aplicação web, porque o texto que descreve a ferramenta chega direto ao raciocínio do modelo e ninguém audita esse caminho por padrão. O que quase todo tutorial de MCP omite é exatamente isso: instalar um servidor é fácil, e é por ser fácil que a origem dele importa tanto.
MCP no Brasil: o que dá para afirmar sem estatística oficial
Não há estatística oficial brasileira sobre adoção do MCP. Até 28 de agosto de 2026, nem o IBGE nem o CGI.br medem o uso do protocolo por empresas no país, e a série TIC Empresas ainda não inclui a métrica. Qualquer número sobre penetração do MCP no mercado brasileiro que você encontrar por aí deve ser tratado como não verificado.
O que dá para afirmar com segurança:
- O protocolo é aberto e os SDKs são gratuitos, então não existe barreira de licença para uma equipe brasileira começar
- Ferramentas que times daqui já usam no dia a dia, como Visual Studio Code, ChatGPT e Microsoft Copilot, vêm com suporte ao padrão
- A documentação oficial e o registry são públicos, sem depender de fornecedor local
Se você toca o time de dados de uma fintech em São Paulo, a pergunta prática deixou de ser se o MCP chega ao Brasil e passou a ser quais servidores valem o risco de entrar no seu ambiente. Essa avaliação é caso a caso. E ela pesa mais em setor regulado, em que um servidor com acesso a dado pessoal encosta direto na Lei 13.709/2018 (LGPD).
Como avaliar o MCP na sua empresa antes do primeiro deploy
Comece pelo inventário dos seus sistemas. Liste o que os agentes precisam alcançar (banco, CRM, API interna) e confira no registry se já existe servidor mantido para cada um, antes de escrever o seu. Depois, aplique três filtros: origem verificável do servidor, OAuth no transporte remoto e compatibilidade com a especificação de 28 de julho de 2026, já sem Sampling e Logging. Metadado de ferramenta entra na sua superfície de ataque, então trate a revisão dele como parte do processo, e mantenha o MCP Inspector atualizado.
O que é MCP, no fim das contas? A camada de integração que faltava para a IA sair da demo e tocar sistemas reais. Se quiser um diagnóstico do seu caso, a consultoria de IA da AlphaCorp faz essa avaliação com quem constrói isso todo dia.
