MCP (Model Context Protocol): что это простыми словами и чем опасен MCP-сервер

MCP (Model Context Protocol) — это открытый стандарт обмена данными, через который языковая модель или ИИ-агент подключается к внешним базам данных, файловым системам и прикладным программам. MCP-сервер — программный адаптер, который превращает структурированный запрос модели в исполняемую команду во внешней информационной системе.

Коротко

Единый разъём для инструментов: протокол заменяет разрозненные самописные интеграции общим стандартом связи между ИИ-агентом и корпоративными хранилищами, терминалами или прикладными интерфейсами (API).
Отраслевой масштаб: при передаче стандарта в фонд Agentic AI Foundation при Linux Foundation 9 декабря 2025 года насчитывалось более 10 000 активных публичных MCP-серверов и свыше 97 млн ежемесячных загрузок SDK на Python и TypeScript.
Доля в промышленной эксплуатации: согласно опросу Stacklok (декабрь 2025 года, 300 старших технических руководителей крупных предприятий в США, Канаде и Великобритании), 41 % опрошенных организаций уже использовали MCP в ограниченной или широкой промышленной эксплуатации, а в секторе разработки ПО — 45 %.
Массовая работа без пароля: по данным обследования 1 412 публично запущенных MCP-серверов, проведённого исследователем Хенли Винг Чиу (Bloomberry, 24 февраля 2026 года), среди серверов с определимым способом проверки подлинности 38,7 % вообще не имели аутентификации.
Контроль до исполнения: поскольку сам протокол отвечает за доставку вызова, но не оценивает разрушительность параметров команды, между агентом и сервером ставится шлюз проверки действий по формальному контракту.

Что такое MCP и зачем он нужен?

Model Context Protocol решает задачу связности: до появления единого стандарта каждое подключение языковой модели к корпоративной базе данных, почтовому серверу или системе управления кодом требовало написания отдельного коннектора под конкретную модель. При смене модели или обновлении API весь интеграционный слой приходилось переписывать.

Протокол MCP, изначально разработанный компанией Anthropic и 9 декабря 2025 года переданный в нейтральный фонд Agentic AI Foundation под эгидой Linux Foundation, ввёл универсальную клиент-серверную шину. В этой архитектуре:

Хост-приложение (MCP Host): среда, в которой работает пользователь или автономный контур (например, агентная среда разработки, корпоративный портал или оркестратор).
MCP-клиент (MCP Client): внутренний модуль хоста, поддерживающий соединение с конкретным сервером по стандартизованному протоколу.
MCP-сервер (MCP Server): внешний или локальный адаптер, который объявляет список доступных функций и выполняет операции в целевой системе по запросу клиента.

Переход от закрытых коннекторов к открытому стандарту привёл к взрывному росту экосистемы. Уже к декабрю 2025 года количество загрузок официальных комплектов разработки (SDK) для Python и TypeScript превысило 97 млн в месяц. Согласно отчёту компании Stacklok «State of Model Context Protocol in Software 2026» (опубликован в январе 2026 года по результатам опроса 300 старших технических руководителей предприятий со штатом от 500 сотрудников в США, Канаде и Великобритании в отраслях финансов, розницы и разработки ПО), 29 % респондентов находились на стадии планирования, 30 % вели пилотные проекты, 29 % эксплуатировали протокол в ограниченном промышленном режиме и 12 % — в широком промышленном контуре.

Что такое MCP-сервер?

MCP-сервер — это простыми словами специализированная программа-переводчик, которая стоит перед конкретным ресурсом (например, базой PostgreSQL, репозиторием Git, облачной консолью или файловой папкой) и предоставляет ИИ-агенту строго описанный перечень возможных операций. Сам по себе такой сервер не содержит искусственного интеллекта: он получает структурированный вызов, выполняет действие в доверенной системе и возвращает результат обратно агенту.

В рамках спецификации протокола сервер может предоставлять агенту три вида примитивов:

Ресурсы (Resources): источники данных, доступные для чтения (файлы, строки таблиц, журналы событий, схемы конфигурации), которые загружаются в контекст модели.
Инструменты (Tools): исполняемые функции с описанием входных параметров (например, execute_sql, delete_file, create_container, send_payment), вызов которых меняет состояние внешней системы.
Шаблоны запросов (Prompts): заранее заготовленные сценарии и инструкции для типовых операций с данным сервисом.

Чтобы запустить соединение, администратор или разработчик передаёт MCP-серверу учётные данные от целевой системы — токены API, строки подключения к базе данных или ключи сервисных учётных записей. С этого момента любой агент, получивший доступ к этому серверу, действует в целевой инфраструктуре с правами выданного ключа.

Как агент вызывает инструмент через MCP?

Как работает протокол MCP по шагам: от намерения модели до изменения в базе данных — четыре такта обмена сообщениями в формате JSON-RPC 2.0:

Объявление возможностей (Discovery): при подключении MCP-клиент запрашивает у сервера перечень доступных инструментов. Сервер возвращает имена функций и JSON-схему обязательных аргументов (например, имя таблицы и текст запроса).
Формирование вызова моделью: языковая модель, анализируя задачу и список доступных инструментов, генерирует не обычный текст для человека, а структурированную заявку на вызов конкретного инструмента с вычисленными аргументами.
Передача команды серверу: клиент пересылает структурированный запрос на MCP-сервер по локальному каналу ввода-вывода (stdio) или по сетевому транспорту поверх HTTP.
Исполнение и возврат ответа: MCP-сервер подставляет аргументы в реальный системный вызов или API-запрос, исполняет его под своими учётными данными и возвращает текстовый или числовой результат обратно в контекст модели для следующего шага.

В этой схеме протокол гарантирует синтаксическую правильность передачи параметров, но никак не проверяет управленческий и технический смысл самой операции. Если модель сформировала синтаксически верный запрос на удаление рабочей таблицы или выгрузку клиентского реестра, а у ключа сервера на это хватает прав, штатный MCP-сервер исполнит команду. Спецификация говорит об этом прямо: инструменты означают выполнение произвольного кода, а сам MCP «не может обеспечить эти принципы безопасности на уровне протокола» — согласие, контроль доступа и защита ложатся на тех, кто внедряет (редакция спецификации от 28.07.2026).

Характеристика этапа	Прямой вызов API через код	Подключение через штатный MCP-сервер	Подключение через MCP со шлюзом проверки действий
Кто формирует параметры вызова	Детерминированный алгоритм, написанный программистом	Вероятностная языковая модель на лету в ходе рассуждения	Вероятностная модель, но параметры перехватываются до исполнения
Проверка структуры данных	На уровне типов языка программирования и схемы API	На уровне JSON-схемы протокола MCP	На уровне JSON-схемы и формального контракта (YAML)
Проверка безопасности действия	Заложена жёстко в логику скрипта	Отсутствует в самом протоколе (полагается на промпт или права ключа)	Математическая проверка параметров SMT-решателем (логика `QF_UFLIA`) до допуска
След операции для разбора	Разрозненные записи в технических журналах веб-сервера	Запись в локальном логе хоста (если включена)	Криптографическая хэш-цепь квитанций с временными якорями `OpenTimestamps`

Чем опасен MCP-сервер без аутентификации?

Незащищённый или наделённый избыточными правами MCP-сервер опасен тем, что он превращается в открытый командный шлюз к внутренней инфраструктуре компании для любого процесса или злоумышленника, способного отправить сетевой запрос. Поскольку на самом сервере уже прописаны рабочие ключи к базам данных и облачным средам, отсутствие проверки подлинности на входе позволяет выполнять привилегированные операции в обход периметровой защиты.

Реальное состояние безопасности MCP в публичном сегменте сети было измерено в начале 2026 года:

Случай. Обследование 1 412 публичных MCP-серверов (Bloomberry, февраль–март 2026 года)

В исследовании Хенли Винг Чиу (компания Bloomberry, публикация «We analyzed 1,400 MCP servers» от 24 февраля 2026 года с обновлением от 27 марта 2026 года; впоследствии эти данные широко цитировались в обзоре DreamFactory от 3 марта 2026 года) было проанализировано 1 412 публично запущенных в интернете серверов MCP. Среди серверов, у которых удалось инструментально определить метод проверки подлинности (точный знаменатель этой подвыборки автор не раскрыл), 38,7 % не имели вообще никакой аутентификации. Более того, лишь 2,4 % обследованных серверов использовали ограничение частоты запросов (rate limiting), а 22,9 % имели полностью открытую политику межсайтовых запросов (CORS).

Даже когда MCP-сервер закрыт паролем или работает локально на машине разработчика, сохраняется вторая угроза — промпт-инъекция и подмена описания инструментов (MCP-инъекция). Если агент читает внешний документ, веб-страницу или сторонний репозиторий со скрытой инструкцией, модель может самостоятельно вызвать подключённый к ней локальный MCP-сервер и выполнить разрушительную команду от имени легитимного пользователя. В аналитическом разборе инцидентов агентной безопасности компании Lumenova от 25 августа 2026 года («Agentic AI Security Incidents») прямо зафиксировано: стандартные предрелизные тесты не выявили ни одного из разобранных случаев отказа, а корень проблем лежал в архитектуре доступа к инструментам, а не в качестве самих моделей («The failures were about access, not model quality»).

Как проверять вызовы агента через MCP до исполнения?

Проверять вызовы ИИ-агента через MCP до их фактического исполнения необходимо путём постановки между клиентом и сервером детерминированного программного шлюза, который сверяет параметры каждой команды с формальным контрактом допустимых действий. Попытка проверять безопасность вызова с помощью другой нейросети не решает проблему, так как вторая модель остаётся вероятностной и подвержена тем же искажениям контекста.

В архитектуре ИБ 3.0, разрабатываемой в АНО «НИИ Системного синтеза», защита контура MCP строится на принципе «проверка действия, а не намерения» через программный шлюз MITR:

Перехват структурированного вызова. Когда агент формирует запрос к инструменту MCP-сервера, вызов перехватывается шлюзом до того, как команда достигнет исполняющего адаптера и целевой базы данных.
Сверка с формальным контрактом. Для каждого класса действий задаётся строгий контракт в виде файла данных (YAML); если для класса действий контракта нет, решатель выносит отказ; исполняется он в режиме запрета, а в режиме совета агент получает предупреждение.
Математическое доказательство безопасности. Параметры вызова передаются в SMT-решатель (логика QF_UFLIA), который без обращения к языковой модели проверяет, пересекаются ли аргументы команды с множеством запрещённых состояний. Если пересечение невыполнимо (UNSAT), шлюз выдаёт допуск; если найдено нарушение, формируется математический контрпример с условиями починки запроса.
Скорость и точность на стенде. По инструментальным замерам на сервере института от 14 октября 2026 года (на наборе из 19 контрактов классов действий), медиана времени решения шлюза по правилу (P4) составляет 0,95 мс, а полный вызов с формированием объяснения — 4,26 мс (прежние замеры: 26 сентября 2026 года — 0,74 и 3,31 мс на 17 контрактах; 2 октября 2026 года — 0,87 и 4,43 мс). На контрольном наборе из 62 случаев (ADR-0262: 50 атак на действия и 12 штатных контролей) шлюз показал 0 пропущенных атак и 0 ложных отказов. Режим сдерживания задаётся флагом на каждый класс действий: по состоянию на 14 октября 2026 года в режиме жёсткого запрета работает один класс (удаление файлов), а остальные 18 классов работают в режиме совета.
Фиксация в хэш-цепи квитанций. Каждое решение шлюза записывается в хэш-цепь квитанций с внешними временными якорями OpenTimestamps. На 14 октября 2026 года при повторе решений цепи проверщиком, написанным для постороннего, совпало 4958 из 4958 без расхождений (повтор выполнил институт) (независимый сторонний проверяющий повтор ещё не проводил, а открытый набор на asi5.ru/console/verify/ позволяет самостоятельно проверить целость самой цепи и временные якоря).

Что с этим делать: практические шаги для руководителя

Для безопасного использования протокола MCP в корпоративной сети необходимо выполнить пять организационно-технических мер:

Провести сетевой аудит развёрнутых MCP-серверов. Проверить внешние и внутренние сетевые периметры организации на наличие запущенных разработчиками публичных адаптеров без аутентификации, открытых политик CORS и отсутствия лимитов частоты запросов, учитывая, что в публичной выборке Bloomberry 38,7 % серверов с определимым методом защиты работали вообще без пароля.
Отозвать у MCP-серверов полноправные (admin/root) ключи. Перевести каждый адаптер на сервисные учётные записи с минимально необходимыми привилегиями: сервер для чтения аналитики не должен иметь технической возможности выполнять команды удаления таблиц или томов.
Запретить подключение непроверенных сторонних MCP-пакетов. Ввести внутренний реестр разрешённых MCP-серверов с проверкой исходного кода перед запуском в контуре разработки, чтобы исключить подмену описаний инструментов и скрытую выгрузку секретов.
Поставить перед критическими MCP-серверами шлюз проверки действий. Разместить на пути вызовов детерминированный шлюз (по архитектуре(/mitr/)), проверяющий аргументы каждой команды по формальным YAML-контрактам в логике QF_UFLIA со временем реакции порядка одной миллисекунды (медиана 0,95 мс по замеру от 14 октября 2026 года).
Включить ведение криптографически связного журнала решений. Фиксировать все допущенные и отклонённые вызовы инструментов в хэш-цепи с внешними якорями времени, обеспечивая проверяемую доказательственную базу для внутреннего расследования и аудита (подробная архитектура описана в книге «Доказанное действие. Власть и контроль над ИИ-агентами: стратегия 2027–2035», Александр Фищук, 2026).

Частые вопросы (FAQ)

Что такое MCP и зачем он нужен?

Model Context Protocol (MCP) — это открытый стандарт, позволяющий подключать языковые модели и ИИ-агентов к внешним источникам данных и рабочим программам без написания отдельных интеграций под каждую нейросеть. В декабре 2025 года компания Anthropic передала протокол в фонд Agentic AI Foundation при Linux Foundation, когда в мире уже работало более 10 000 активных публичных MCP-серверов.

Что такое MCP-сервер?

MCP-сервер — это программа-посредник (адаптер), которая соединяет ИИ-агента с конкретной базой данных, файловым хранилищем или внешним сервисом по API. Сервер объявляет агенту список доступных команд, принимает от него структурированные запросы и выполняет их в целевой системе под выданными учётными данными.

Как агент вызывает инструмент через MCP?

Сначала агент запрашивает у MCP-сервера перечень доступных функций и формат их параметров (JSON-схему). Затем в процессе решения задачи языковая модель формирует структурированную команду с нужными аргументами, отправляет её серверу, а сервер исполняет операцию и возвращает результат обратно в контекст агента.

Чем опасен MCP-сервер без аутентификации?

Сервер без проверки подлинности даёт любому внешнему процессу или злоумышленнику возможность выполнять команды во внутренней базе данных или файловой системе компании с правами того ключа, который зашит в настройки сервера. По данным исследования Bloomberry от 24 февраля 2026 года (1 412 публичных серверов), среди узлов с определимым способом защиты 38,7 % не имели никакой аутентификации, и лишь 2,4 % ограничивали частоту запросов.

Как проверять вызовы агента через MCP до исполнения?

Между агентом и MCP-сервером устанавливается независимый программный шлюз, который перехватывает каждый вызов инструмента и сверяет его аргументы с формальным контрактом при помощи математического SMT-решателя. На стенде шлюза MITR (замер от 14 октября 2026 года на 19 контрактах) такая проверка занимает в медиане 0,95 мс без вызова языковой модели и пропускает операцию только при наличии формального доказательства безопасности (UNSAT).

Источники

Anthropic — Donating the Model Context Protocol and establishing the Agentic AI Foundation. Официальное сообщение Anthropic о передаче стандарта в Linux Foundation, 09.12.2025. Адрес: https://www.anthropic.com/news/donating-the-model-context-protocol-and-establishing-of-the-agentic-ai-foundation.
Stacklok — State of Model Context Protocol in Software 2026. Отчёт по результатам опроса 300 старших технических руководителей крупных предприятий США, Канады и Великобритании (декабрь 2025 г.), опубликован в январе 2026 г. Адрес: https://stacklok.com/wp-content/uploads/2026/01/State-of-MCP-in-Software-2026_FINAL.pdf.
Bloomberry (Henley Wing Chiu) — We analyzed 1,400 MCP servers, here’s what we learned. Исследование 1 412 публично запущенных серверов MCP от 24.02.2026 (обновлено 27.03.2026). Адрес: https://bloomberry.com/blog/we-analyzed-1400-mcp-servers-heres-what-we-learned/.
Lumenova — Agentic AI Security Incidents. Аналитический разбор инцидентов безопасности ИИ-агентов от 25.08.2026. Адрес: https://www.lumenova.ai/blog/agentic-ai-security-incidents/.
Model Context Protocol — Specification, редакция 2026-07-28. Адрес: https://modelcontextprotocol.io/specification/2026-07-28
АНО «НИИ Системного синтеза» — Инструментальные замеры шлюза MITR (протокол от 14.10.2026, ADR-0262). Открытый набор проверки целости цепи квитанций: https://asi5.ru/console/verify/.

Проверено: 16.10.2026

Коротко

Что такое MCP и зачем он нужен?

Что такое MCP-сервер?

Как агент вызывает инструмент через MCP?

Чем опасен MCP-сервер без аутентификации?

Случай. Обследование 1 412 публичных MCP-серверов (Bloomberry, февраль–март 2026 года)

Как проверять вызовы агента через MCP до исполнения?

Что с этим делать: практические шаги для руководителя

Частые вопросы (FAQ)

Что такое MCP и зачем он нужен?

Что такое MCP-сервер?

Как агент вызывает инструмент через MCP?

Чем опасен MCP-сервер без аутентификации?

Как проверять вызовы агента через MCP до исполнения?

Источники

Связанные страницы