MCP (Model Context Protocol) : le standard ouvert qui connecte l’IA au monde réel

Avant MCP, connecter un assistant IA à un outil externe demandait un développement sur mesure. Il fallait un connecteur pour Slack, un autre pour GitHub et un troisième pour votre base de données. Chaque intégration était propre à un modèle et à un service, et elle ne servait nulle part ailleurs. Avec 10 outils et 5 modèles, vous aviez 50 intégrations à construire et à maintenir. On appelle cela le problème N×M : N assistants multipliés par M outils, chacun avec son code dédié.

Le Model Context Protocol transforme cette multiplication en addition. Un serveur MCP construit une fois rend un outil accessible à tous les clients compatibles : Claude, ChatGPT, Gemini, Vibe de Mistral, Cursor, VS Code et des centaines d’autres. À l’inverse, un client compatible MCP peut utiliser tous les serveurs existants sans code supplémentaire. L’analogie la plus souvent citée fait de MCP l’USB-C de l’IA.

Qu’est-ce que MCP, concrètement

MCP est un protocole de communication ouvert qu’Anthropic a publié le 25 novembre 2024, sous licence libre. Il définit un langage commun pour qu’une application IA (le client) puisse découvrir, interroger et utiliser des outils et des données exposés par un serveur MCP.

Le protocole repose sur JSON-RPC 2.0, un standard léger d’échange de messages structurés. Les messages circulent par deux transports officiels : stdio (entrée/sortie standard) pour les processus locaux, et Streamable HTTP pour les serveurs distants. L’ancien transport HTTP+SSE est officiellement déprécié. En pratique, un serveur MCP local se lance comme un programme sur votre machine, tandis qu’un serveur distant fonctionne comme un service web classique.

Chaque serveur MCP peut exposer trois types de capacités :

• Tools (outils) — des fonctions que le modèle peut appeler, comme rechercher un fichier, exécuter une requête SQL, envoyer un message Slack ou créer un ticket GitHub.
• Resources (ressources) — des données que le client peut ajouter au contexte, par exemple le contenu d’un fichier, le schéma d’une base de données ou l’historique d’un canal Slack.
• Prompts — des modèles de requêtes réutilisables que le serveur met à disposition, du type « Résume ce document » ou « Analyse cette pull request ».

Le modèle IA ne voit pas le code du serveur. Il reçoit une description structurée des outils disponibles (nom, paramètres, finalité) et choisit lui-même lesquels utiliser selon la demande de l’utilisateur. Cette découverte dynamique distingue MCP d’un simple appel d’API codé en dur.

Comment ça marche : l’architecture en 3 couches

MCP repose sur une architecture client-serveur où trois rôles se répartissent le travail.

Le déroulé suit toujours la même logique. L’utilisateur pose une question, puis le modèle comprend qu’il a besoin d’un outil. Le client MCP appelle alors le serveur correspondant, qui exécute l’action et renvoie le résultat. Le modèle intègre enfin cette information dans sa réponse, le tout en quelques secondes.

Les versions de la spécification

La spécification porte comme numéro de version la date de sa dernière modification incompatible. Après la version initiale 2024-11-05, se sont succédé les révisions 2025-03-26 (arrivée de Streamable HTTP et d’OAuth), 2025-06-18, puis 2025-11-25, publiée pour le premier anniversaire du protocole. La version en vigueur est la 2026-07-28, publiée le 28 juillet 2026 après une release candidate en mai.

Cette révision change la mécanique de fond : MCP devient sans état (stateless). La poignée de main initiale et les sessions disparaissent, et chaque requête transporte sa version de protocole et les capacités du client. Un serveur distant peut donc tourner sur plusieurs machines derrière un simple répartiteur de charge. Une nouvelle méthode, server/discover, permet au client de connaître d’emblée les versions et capacités d’un serveur. Les tâches longues (Tasks) deviennent une extension officielle. Enfin, trois fonctions anciennes (Roots, Sampling et Logging) sont dépréciées, avec une période de transition d’au moins douze mois.

Qui utilise MCP

Le protocole a dépassé le stade expérimental. Le 9 décembre 2025, Anthropic a fait don de MCP à l’Agentic AI Foundation (AAIF), un fonds dédié hébergé par la Linux Foundation. MCP y a rejoint goose (Block) et AGENTS.md (OpenAI) comme projets fondateurs. Anthropic, Block et OpenAI ont cofondé l’AAIF, et AWS, Bloomberg, Cloudflare, Google et Microsoft en sont membres Platinum dès le départ. Le 24 février 2026, la fondation comptait 146 membres, dont Mistral AI, et elle en annonce 247 depuis le 13 août 2026. MCP devient ainsi une infrastructure neutre, gouvernée comme Kubernetes ou PyTorch, indépendamment de son créateur d’origine.

L’adoption touche tous les grands acteurs :

• Anthropic — Claude sur le web et sur ordinateur, Claude Code et l’API Claude utilisent MCP nativement.
• OpenAI — le SDK Agents a intégré MCP en mars 2025. Le 6 octobre 2025, OpenAI a lancé les apps dans ChatGPT et leur Apps SDK, qui repose sur MCP.
• Google — Google DeepMind a annoncé le support de MCP pour Gemini en avril 2025. En avril 2026, Google Cloud a ouvert à tous plus de 50 serveurs MCP gérés (BigQuery, Cloud SQL, Google Workspace, Maps…), détaillés dans notre article sur l’API Gemini et MCP.
• Microsoft — MCP est disponible dans Copilot Studio depuis mai 2025, ainsi que dans VS Code et Visual Studio. Windows 11 teste un support natif des agents MCP dans ses préversions Insider depuis décembre 2025.
• Mistral AI — depuis le 2 septembre 2025, l’assistant de Mistral (Le Chat, rebaptisé Vibe) accepte les connecteurs MCP, y compris des serveurs distants personnalisés.
• Outils de développement — Cursor, VS Code (GitHub Copilot), Zed, Replit et Windsurf, entre autres, parlent tous MCP.

Selon l’équipe du protocole, les SDK officiels de premier rang (TypeScript, Python, Go, C# et Rust, promu à ce rang le 21 août 2026) approchaient le demi-milliard de téléchargements par mois en juillet 2026. La Linux Foundation recensait déjà plus de 10 000 serveurs MCP publiés en décembre 2025. Pour s’y retrouver, le projet maintient un registre officiel (registry.modelcontextprotocol.io), lancé en préversion en septembre 2025 et toujours en préversion à ce jour. Ce registre stocke les métadonnées des serveurs publics et vérifie que leur éditeur possède bien le nom de domaine ou le compte GitHub revendiqué. Les places de marché comme Smithery, Glama ou PulseMCP s’appuient sur lui.

MCP Apps : des interfaces dans la conversation

Le 26 janvier 2026, MCP Apps est devenue la première extension officielle du protocole. Un serveur peut désormais renvoyer une interface interactive (tableau de bord, formulaire, graphique) qui s’affiche directement dans la conversation, au lieu d’un simple texte. L’extension réunit les travaux du projet MCP-UI et de l’Apps SDK d’OpenAI. Claude, ChatGPT, VS Code Insiders et goose l’ont prise en charge dès son lancement.

Les serveurs MCP les plus utiles

Parmi les milliers de serveurs disponibles, une poignée couvre la majorité des usages concrets. Le dépôt officiel modelcontextprotocol/servers a fait le ménage : il ne garde plus que sept serveurs de référence, pensés comme des exemples pédagogiques. GitHub, Slack, PostgreSQL, Puppeteer, Google Drive, Brave Search, Redis, Sentry, SQLite et quelques autres ont été déplacés dans un dépôt d’archives et ne sont plus maintenus. Pour ces services, il vaut mieux utiliser le serveur publié par l’éditeur lui-même.

Au-delà de cette liste, des serveurs tiers couvrent Notion, Figma, Canva, Stripe, Sentry et des dizaines d’autres services. Un serveur local s’installe le plus souvent en une ligne de commande, et un serveur distant se branche en collant son adresse dans les réglages de l’assistant.

MCP face au function calling : quelle différence

Une confusion revient souvent : MCP remplace-t-il le function calling, l’appel de fonctions intégré à l’API des LLM ? La réponse est non, car les deux se complètent.

Le function calling est une capacité du modèle. Le LLM décide d’appeler une fonction et produit les arguments nécessaires au format JSON : il joue le rôle du moteur.

MCP forme la couche d’intégration au-dessus, comparable au réseau routier. Il standardise la façon dont les outils sont découverts, décrits et invoqués. Un serveur MCP construit pour GitHub fonctionne avec Claude, ChatGPT, Gemini et n’importe quel autre client compatible. En revanche, un outil défini via le function calling de l’API OpenAI ne sert que chez OpenAI.

La plupart des systèmes en production combinent donc les deux : le function calling au niveau du modèle, MCP au niveau de l’infrastructure.

MCP et les agents IA

MCP est la brique qui rend les agents IA réellement opérationnels. Un agent est un LLM capable de raisonner, de décider d’agir et d’exécuter des actions dans le monde réel. Privé d’outils, il reste un chatbot sophistiqué, et MCP lui donne des mains.

Un agent relié à plusieurs serveurs MCP peut ainsi enchaîner des actions : il lit un email entrant (serveur Gmail), cherche le ticket correspondant (serveur Jira) et consulte la documentation technique (serveur Filesystem). Il rédige ensuite une réponse et l’envoie via le serveur Gmail. Le modèle orchestre toute la chaîne, et c’est à vous de décider quelles actions exigent votre validation.

Le protocole A2A (Agent2Agent), créé par Google en avril 2025 puis confié à la Linux Foundation, répond à un autre besoin : la communication entre agents. MCP relie un agent à ses outils, alors qu’A2A permet à plusieurs agents de se coordonner. Les architectures multi-agents utilisent souvent les deux.

Sécurité et limites

MCP donne aux modèles un accès réel à vos systèmes, et les chercheurs en sécurité s’y intéressent de près depuis 2025. Trois familles de risques reviennent dans leurs travaux.

• L’injection de prompt indirecte — le modèle lit un contenu piégé (une issue GitHub, une page web, un README) qui contient des instructions cachées. En mai 2025, Invariant Labs a montré qu’une simple issue publique pouvait pousser un agent relié au serveur GitHub officiel à divulguer le contenu de dépôts privés.
• L’empoisonnement d’outils (tool poisoning) — un serveur malveillant glisse des instructions dans la description de ses outils, que le modèle lit sans que l’utilisateur les voie. Une variante, le « rug pull », consiste à modifier cette description après l’installation.
• Les failles logicielles classiques — l’outil de test MCP Inspector (CVE-2025-49596, score CVSS 9,4) et le proxy mcp-remote (CVE-2025-6514, score 9,6) ont permis l’exécution de code à distance avant leurs correctifs de juin 2025. Même le serveur Git de référence a dû être corrigé : la société Cyata y a trouvé trois failles (CVE-2025-68143, 68144 et 68145). La première a été corrigée dès septembre 2025 avec la version 2025.9.25, les deux autres en décembre 2025 avec la version 2025.12.18.

Plusieurs règles limitent ces risques :

• Principe du moindre privilège — chaque serveur ne doit exposer que les outils et les périmètres nécessaires. Un accès en lecture seule à une base de données vaut mieux qu’un accès complet, et un serveur Filesystem limité à un dossier vaut mieux qu’un accès à tout le disque.
• Serveurs de confiance — traitez chaque serveur MCP comme une dépendance logicielle, en vérifiant l’éditeur, le code, la licence et les mises à jour. Préférez les serveurs officiels des éditeurs et gardez vos outils à jour.
• Authentification — les serveurs locaux (stdio) héritent des permissions de l’utilisateur qui les lance. Les serveurs distants s’appuient sur OAuth, que la spécification 2026-07-28 a durci (validation de l’émetteur, identifiants liés au serveur d’autorisation qui les a délivrés).
• Validation et audit — gardez une confirmation humaine pour les actions sensibles (envoi, suppression, paiement) et journalisez chaque appel d’outil. Les passerelles MCP d’entreprise ajoutent le SSO, la limitation de débit et la traçabilité.

Une autre limite est pratique. Chaque serveur actif ajoute ses descriptions d’outils au contexte du modèle, ce qui consomme des tokens. Avec trop de serveurs branchés en même temps, le choix du bon outil devient moins fiable, d’où l’intérêt de n’activer que ceux dont vous avez besoin.

Ce que cela change pour vous

Si vous utilisez Claude, ChatGPT, Gemini ou Vibe, vous utilisez probablement déjà MCP sans le savoir. Les connecteurs de Claude vers Google Drive, Gmail, Slack ou GitHub reposent sur ce protocole, tout comme les apps de ChatGPT.

Pour les développeurs, MCP met fin aux intégrations jetables, car un serveur construit une fois sert partout. Les SDK officiels existent en TypeScript, Python, Go, C# et d’autres langages, et quelques dizaines de lignes suffisent pour un premier serveur fonctionnel.

Les utilisateurs avancés y gagnent des workflows sur mesure : un second cerveau de notes liées que Claude consulte, un agent qui trie vos emails ou un assistant qui interroge votre base de données en langage naturel.

Pour les entreprises, exposer un serveur MCP devient la condition pour qu’un logiciel soit utilisable par les agents IA. Google, Microsoft, Slack ou GitHub l’ont compris et publient désormais leurs propres serveurs.

Le protocole reste perfectible, surtout sur la sécurité, que la communauté considère comme son principal chantier. La trajectoire est pourtant nette : avec une gouvernance neutre, une spécification pensée pour la production et le soutien de tous les grands laboratoires, MCP joue pour les agents IA le rôle que HTTP a joué pour le web. Notre conseil : branchez les serveurs dont vous avez réellement besoin, choisissez des éditeurs fiables et gardez la main sur les actions sensibles.