MCP-сервер простыми словами: как ИИ подключается к вашим системам

Что такое MCP-сервер простыми словами?

MCP расшифровывается как Model Context Protocol, протокол контекста модели. По этому открытому стандарту ИИ-приложения вроде Claude или ChatGPT подключаются к файлам, базам данных, поисковым системам и другим внешним источникам. Anthropic представила его 25 ноября 2024 года.

Документация протокола сравнивает MCP с разъемом USB-C. Один разъем подходит к разным устройствам, и один протокол связывает разные ИИ-приложения с разными системами.

До MCP каждое подключение писали отдельно. В анонсе Anthropic сказано, что каждому новому источнику данных нужна своя реализация, поэтому связанные системы трудно масштабировать.

9 декабря 2025 года Anthropic передала протокол в Agentic AI Foundation — фонд под управлением Linux Foundation, который Anthropic основала вместе с Block и OpenAI. Последняя версия спецификации датирована 28 июля 2026 года. Я сверил ее с сайтом modelcontextprotocol.io 23 октября 2026 года.

Сервер в этой схеме подключается к одной системе и описывает, что ИИ может в ней прочитать или сделать. Примеров в документации два: сервер файловой системы запускается на компьютере пользователя, сервер Sentry MCP размещен в облаке.

Как работает MCP-сервер?

В протоколе три участника. Хост — ИИ-приложение, например Claude Desktop, Claude Code или Visual Studio Code. Внутри хоста работает клиент, по одному на каждый подключенный сервер. Сообщения между ними идут в формате JSON-RPC 2.0.

Сервер предлагает три вида возможностей.

• Инструменты — функции, которые вызывает модель: запрос к базе, вызов API, операция с файлом.
• Ресурсы — данные для контекста, например содержимое файла или запись в базе.
• Промпты — шаблоны запросов, которые выбирает пользователь.

Вызов инструмента проходит в четыре шага.

1. Клиент получает у сервера список инструментов с названием, описанием и параметрами каждого.
2. Хост передает этот список модели вместе с вопросом пользователя.
3. Модель выбирает инструмент и параметры, клиент отправляет вызов серверу.
4. Сервер выполняет действие в системе и возвращает результат, модель пишет по нему ответ.

Сервер работает на компьютере пользователя или удаленно. Локальный общается с клиентом через стандартный ввод и вывод, этот способ называют stdio. Удаленный использует Streamable HTTP, обслуживает много клиентов сразу и пускает их по токенам или ключам API, а токены спецификация рекомендует получать по OAuth.

Прямого доступа к системе у модели нет. Она видит описания инструментов и результат вызова, а остальное содержимое базы для нее закрыто. Поэтому возможности агента в системе задает набор инструментов на сервере.

Зачем компании MCP-сервер?

Стандарт избавляет от повторных интеграций. Сервер для CRM пишут один раз, и с ним без доработки работают разные хосты: ассистент в чате, среда разработки и собственный агент компании. Документация MCP называет среди приложений с поддержкой протокола Claude, ChatGPT, Visual Studio Code и Cursor.

В декабре 2025 года Anthropic насчитала больше 10 000 активных публичных серверов. SDK для Python и TypeScript скачивали больше 97 млн раз в месяц. Протокол к тому времени поддерживали ChatGPT, Gemini и Microsoft Copilot. Поэтому для крупного облачного сервиса сначала ищут готовый сервер от его владельца, а свой пишут, когда готового нет.

Вторая польза — доступ к системе не зависит от модели. Права, список разрешенных инструментов и журнал хранятся на сервере и в клиенте, поэтому модель можно сменить, а подключение к системе останется прежним.

Готовый сервер есть не для каждой системы. Официального сервера для данных 1С я не нашел, поэтому свой сервер собирают поверх OData или HTTP-сервиса. Роли, права и типовые запросы финотдела я разобрал в статье «ИИ-агент для 1С: как подключить через MCP и что ему доверить».

Какие системы подключают через MCP?

Работать через MCP может любая система, у которой есть API или доступ к данным. Сервер переводит вызов инструмента в запрос к этой системе: сервер для REST API вызывает его методы, сервер для PostgreSQL выполняет запросы к базе.

База знаний через MCP отдает агенту найденные фрагменты документов со ссылкой на источник. Как устроен такой поиск, я объяснил в статье «RAG простыми словами: как ИИ отвечает по документам компании».

Примеры серверов лежат в репозитории проекта MCP. Там есть эталонные серверы для файловой системы, Git, загрузки веб-страниц, памяти агента и часовых поясов. Серверы для PostgreSQL, Slack, GitHub и Google Drive перенесены в архив.

Авторы репозитория называют эталонные серверы учебными примерами, не готовыми к промышленной работе. Опубликованные серверы ищут в каталоге MCP Registry. Для GitHub вместо архивного примера теперь есть официальный GitHub MCP Server.

Какие права дать MCP-серверу?

Я бы начал с минимальных прав. Руководство по безопасности MCP советует запрашивать на старте только базовые разрешения на чтение и расширять их по мере надобности. Права сразу на все объекты документация называет типичной ошибкой: украденный токен с такими правами открывает все системы.

Способ входа зависит от типа сервера. Удаленный сервер проверяет клиента по OAuth 2.1 и принимает только токены, выданные для него самого. Локальный берет учетные данные из окружения и работает с правами пользователя, который его запустил.

Отсюда риск чужих серверов. Документация описывает атаку, при которой команда запуска локального сервера выгружает файлы с компьютера. Поэтому клиент, который ставит локальный сервер в один клик, обязан показать полную команду запуска без сокращений и получить явное согласие пользователя. OpenAI в руководстве по MCP советует выбирать официальные серверы, которые размещает сам владелец сервиса.

Описаниям инструментов тоже нельзя верить на слово. Пометке «только чтение» от непроверенного сервера клиент по спецификации не доверяет. Изменения данных запрещают в самой системе — ролью пользователя, под которым сервер в нее входит.

Перед подключением я бы проверил пять пунктов.

• У агента отдельная учетная запись в каждой системе.
• Права только на чтение и только на нужные объекты.
• Включены только нужные инструменты. В OpenAI для этого есть параметр allowed_tools, в Claude API — списки разрешенных и запрещенных инструментов.
• Сервер выпустил владелец сервиса, или вы прочитали его код.
• На время пилота агент работает с копией данных.

Что записывать в журнал вызовов?

Спецификация рекомендует клиенту записывать вызовы инструментов для аудита. OpenAI советует сохранять все данные, которые уходят на MCP-сервер, и регулярно их просматривать. Данные, которые попали на сторонний сервер, дальше подчиняются его правилам хранения и размещения, поэтому до подключения стоит прочитать эти правила.

По каждому вызову я бы записывал пять полей.

• Кто задал вопрос и когда.
• Какой инструмент вызван и с какими параметрами.
• Что вернул сервер.
• Кто подтвердил действие, если оно меняет данные.
• Ошибка, если вызов не прошел.

Журнал самой системы дополняет журнал клиента. Если агент входит в CRM или 1С под своим пользователем, его действия видны отдельно от действий сотрудников. Спецификация запрещает серверу пересылать в систему чужие токены: иначе в ее журнале запросы сервера выглядели бы как действия другого участника.

Если через сервер проходят персональные данные клиентов или сотрудников, где будет работать модель, согласуют до запуска с ответственным за обработку персональных данных.

Где граница между агентом и человеком?

Агент через MCP-сервер ищет данные, сводит их в ответ и готовит черновики письма или комментария к сделке. Он видит только результаты открытых ему инструментов, в пределах прав учетной записи сервера.

Человек подтверждает действия, которые меняют данные. Спецификация требует от хоста явного согласия пользователя перед вызовом инструмента и советует оставлять человеку возможность отклонить любой вызов. В Responses API OpenAI по умолчанию спрашивает подтверждение перед передачей данных удаленному серверу.

Сервер тоже может остановиться и спросить. Для этого в протоколе есть механизм elicitation: сервер запрашивает у пользователя недостающие данные или подтверждение действия.

Опаснее всего чужой текст в данных. Письмо или карточка клиента могут содержать инструкцию для модели. Такую атаку называют промпт-инъекцией. Агенту, который читает входящую почту, инструменты отправки и оплаты без подтверждения не дают. Где еще ошибается агент и как это контролировать, я разобрал в статье «Что такое ИИ-агент для бизнеса и чем он отличается от чат-бота».

При такой схеме ошибку агента ограничивают права. Он может выбрать не тот инструмент или неточно пересказать данные. Запись в систему без человека при этом не пройдет.

Для пилота хватит одной системы, одного отдела и инструментов на чтение. Приходите на разбор ИИ-базы знаний для компании с перечнем документов, по которым чаще всего спрашивают. Подключение агента к учетной системе финотдела описано на странице ИИ в финансовом отделе. Другие материалы собраны в рубрике про ИИ-агентов.