MCP : définition et enjeux du Model Context Protocol pour l’IA

Comment fonctionne le MCP ?

Le MCP organise l’échange entre une application d’IA et des serveurs qui lui ouvrent l’accès à vos systèmes. Anthropic l’a publié le 25 novembre 2024. Son constat de départ : chaque nouvelle source de données exigeait sa propre intégration. La documentation officielle compare le MCP à un port USB-C, une prise commune pour des appareils différents.

Trois composants se partagent le travail :

1. L’hôte : l’application d’IA, par exemple un assistant ou un agent IA.

2. Le client : le composant de l’hôte qui maintient la connexion avec un serveur.

3. Le serveur MCP : le programme qui donne accès à un système, comme un CRM, une messagerie ou une base de données.

Un serveur propose des outils, que le modèle appelle pour agir, des ressources, qui apportent des données, et des modèles de consignes. Il tourne en local sur un poste ou à distance chez un éditeur. Le protocole recommande OAuth pour autoriser l’accès à un serveur distant. Reste à décider au nom de qui l’agent agit : c’est la question de l’identité des agents IA.

MCP ou API : quelle différence ?

Une API donne accès à un logiciel précis ; le MCP fixe une manière commune de présenter ces accès à une IA. Votre CRM expose son API. Un serveur MCP peut s’appuyer sur cette API ; il décrit à l’IA chaque outil, ses paramètres et son usage. L’application d’IA découvre alors les outils disponibles, sans développement propre à chaque logiciel.

Le MCP n’est pas non plus un agent. Il transporte les demandes et les résultats ; le modèle et les règles d’autonomie décident des actions. Un protocole agent à agent, comme A2A, relie de son côté les agents d’un système multi-agents. Il ne remplace pas davantage le RAG. Le RAG cherche des passages dans vos documents pour nourrir une réponse ; un serveur MCP ouvre aussi des actions. Une skill d’agent IA, elle, décrit la procédure à suivre avec ces accès.

Que change le MCP pour votre décision ?

• Le MCP baisse le coût d’intégration, pas le risque. Selon sa documentation, il réduit le temps et la complexité de développement. D’après Anthropic, ChatGPT, Gemini, Microsoft Copilot, Cursor et Visual Studio Code l’ont adopté (annonce du 9 décembre 2025). Chaque serveur branché ouvre pourtant un accès de plus à vos systèmes.

• Le protocole ne fait pas la sécurité à votre place. La spécification exige le consentement explicite de l’utilisateur avant tout appel d’outil. Elle reconnaît que le MCP ne peut pas imposer ce principe lui-même : l’application qui l’utilise en répond. Elle recommande qu’un humain puisse toujours refuser un appel d’outil, ce qui relève du human in the loop.

• Un serveur MCP tiers se choisit comme un fournisseur. Pour la spécification, un outil équivaut à une exécution de code arbitraire. Elle demande de tenir pour non fiables les descriptions d’outils d’un serveur non fiable. Un agent connecté lit aussi des contenus externes et s’expose à la prompt injection.

• Les droits accordés fixent l’ampleur d’un incident. Les bonnes pratiques de sécurité du MCP recommandent de démarrer avec des droits minimaux, puis de les élargir quand une opération sensible l’exige. Elles déconseillent les droits globaux, du type « accès complet ». L’ANSSI demande de documenter et de valider tous les flux entre un système d’IA et les applications métier (R26).

• Le standard ne dépend plus d’un seul éditeur. En décembre 2025, Anthropic a confié le MCP à l’Agentic AI Foundation, un fonds de la Linux Foundation cofondé avec Block et OpenAI. Un même serveur sert plusieurs applications : il réduit la dépendance fournisseur sur vos connecteurs.

Exemple illustratif

Ce cas est fictif. Une ETI de distribution relie son assistant IA à son CRM par un serveur MCP, pour préparer les relances clients. La DSI ouvre d’abord la lecture seule : fiches clients et historique des commandes. Toute modification dans le CRM exige ensuite une confirmation de l’utilisateur. Le serveur n’atteint ni les données RH ni les conditions tarifaires. Un journal garde la trace de chaque appel d’outil, et la DSI le relit chaque semaine.