MCP: зачем нужен протокол подключения агентов к корпоративным данным
Менеджеру нужно проверить наличие товара и подготовить заявку на резерв. Остатки хранятся в ERP, история клиента — в CRM, условия продажи — в базе знаний. Чтобы AI-агент справился с такой задачей, ему нужен доступ ко всем трем системам. Model Context Protocol позволяет подключить эти источники через общий интерфейс, а не писать отдельную интеграцию для каждой пары «агент — система».
В данной статье разберем, как работает протокол MCP, где он полезен бизнесу, как сделать подключение безопасным и какая инфраструктура нужна для запуска.
Что такое MCP и какую проблему он решает
Чтобы AI-модель могла выполнять рабочие задачи, ей нужны данные и инструменты бизнес-систем. MCP задает общие правила обращения к ним.
Определение
MCP — открытый протокол для подключения AI-приложений к внешним данным и функциям. Anthropic представила его в ноябре 2024 года, а в декабре 2025-го передала в Agentic AI Foundation — фонд под управлением Linux Foundation, который Anthropic основала вместе с OpenAI и Block. В 2025 году поддержку протокола добавили OpenAI, Google, Microsoft и AWS.
MCP описывает, как клиент и сервер обмениваются сообщениями, но не определяет, насколько самостоятельно действует приложение. AI Assistant помогает сотруднику подготовить результат, а AI Agent может сам выбирать и выполнять разрешенные шаги. Оба типа приложений могут использовать MCP.
Какую проблему решает MCP
Когда каждое AI-приложение подключают к системам отдельно, команды снова и снова пишут один и тот же код: подключение, описание функций, обработку ошибок. MCP позволяет вынести эту логику в серверы, которыми пользуются разные приложения.
Прямые интеграции AI-агентов с каждой системой
Допустим, помощникам отдела продаж и службы поддержки нужны сведения из CRM. Если у каждого своя интеграция, при изменении API CRM придется дорабатывать оба приложения. С общим MCP-сервером код, который обращается к CRM (адаптер), обновляют в одном месте. При этом адаптер все равно нужно написать: протокол не создает интеграцию автоматически.
Единый интерфейс для работы с данными и инструментами
Сервер сообщает, какие функции доступны, какие параметры они принимают и что возвращают. Клиент использует эти описания, чтобы вызывать функции. Особенности CRM или складской системы остаются внутри адаптера, а приложение работает с понятными операциями вроде «Найти клиента» и «Проверить остаток».
Масштабирование количества AI-агентов и интеграций
Новый агент может подключиться к уже работающим серверам, а новый источник данных сразу становится доступен нескольким приложениям. Перед подключением проверяют совместимость версий протокола, транспорта (способа передачи сообщений) и авторизации: заявленная поддержка MCP не гарантирует, что клиент и сервер поддерживают одинаковый набор возможностей. Особенно это важно после выхода редакции спецификации 2026-07-28, которая несовместима с предыдущими версиями.
Чем MCP отличается от API и function calling
Эти механизмы отвечают за разные участки взаимодействия.
| Механизм | Назначение |
|---|---|
| API | Предоставляет операции конкретной бизнес-системы |
| Function calling | Позволяет модели выбрать функцию и передать ее аргументы приложению |
| MCP | Стандартизирует, как приложение находит и вызывает функции и данные MCP-серверов |
Обычно MCP-сервер обращается к уже существующему API системы. Поддержка function calling у модели сама по себе не подключает ее к MCP: нужен клиент, который получит описания функций с сервера, передаст их модели и выполнит выбранный вызов. Например, агента на базе GigaChat подключают к MCP-серверам через библиотеки GigaChain, которые берут на себя роль такого клиента.
Как работает MCP
Модель предлагает следующий шаг, приложение управляет его выполнением, а сервер обращается к источнику данных.
MCP Host, Client и Server
В архитектуре три программные роли. Они не обязательно размещаются на отдельных машинах.
| Компонент | Роль |
|---|---|
| MCP Host | AI Application — приложение, в котором работает модель. Управляет контекстом и MCP-клиентами. Например, корпоративный AI-помощник или Claude Desktop |
| MCP Client | Компонент хоста, который взаимодействует с конкретным сервером |
| MCP Server | Программа, которая предоставляет клиенту инструменты и данные из подключенных систем |
Для каждого сервера хост создает отдельный клиент. Сам сервер может работать локально или обслуживать приложения по сети.
Как AI-агент получает доступ к корпоративным данным
Администратор подключает к приложению разрешенные серверы. Клиент запрашивает у каждого сервера список возможностей, а приложение решает, что из них и в каком виде предоставить модели. Сервер может предоставлять возможности трех типов:
- Tools — функции для поиска, расчетов, чтения или изменения записей. Их вызывает модель.
- Resources — данные для контекста, например документы и схемы баз данных.
- Prompts — шаблоны запросов для повторяющихся задач, которые обычно выбирает пользователь.
Клиент и сервер обмениваются сообщениями в формате JSON-RPC. Если сервер запущен на том же компьютере, что и приложение, сообщения передаются через STDIO — стандартные потоки ввода и вывода. Сетевой сервер работает через Streamable HTTP. К каким данным получит доступ агент, определяют права пользователя и сервисной учетной записи, от имени которых работает сервер.
Пример взаимодействия AI-агента с корпоративной системой
Менеджер просит: «Проверь наличие 40 единиц товара на складе в Алматы и подготовь заявку на резерв».
- Приложение проверяет, есть ли у сотрудника доступ к этому клиенту.
- Агент вызывает инструмент проверки остатка с кодом товара и складом.
- MCP-сервер запрашивает остаток в ERP и возвращает результат.
- Приложение показывает менеджеру состав заявки и запрашивает подтверждение.
- После подтверждения сервер создает заявку в ERP, а агент сообщает ее номер.
При создании заявки ERP повторно проверяет наличие товара: остаток мог измениться, пока менеджер подтверждал заявку. Если резерв создать не удалось, приложение сообщает причину, а не отчитывается об успехе.
Зачем MCP нужен бизнесу
Общий интерфейс полезен, когда один агент использует несколько систем или разные приложения обращаются к одним и тем же источникам.
Доступ AI-агентов к актуальным данным
Из обучающих данных модель не может знать текущий статус заказа. Инструмент позволяет запросить его в момент выполнения задачи. Вместе с ответом полезно возвращать время последнего обновления данных: если сервер читает реплику базы или поисковый индекс, сведения могут отставать от основной системы.
Единый способ подключения разных систем
Разработчикам проще сопровождать один стандартный механизм подключения, чем набор разнородных интеграций. Сотрудник получает сведения из нескольких систем в одном рабочем процессе — без ручного переноса информации между окнами.
Масштабирование AI-агентов и интеграций
Общие серверы позволяют централизованно обновлять функции и контролировать обращения. Но у каждого инструмента должны быть владелец и правила внесения изменений. Например, если операцию «Подготовить заявку» заменить на «Оформить заказ», агент получит новые полномочия, даже если параметры вызова не изменились.
Автоматизация действий, а не только генерация ответов
Generative AI создает контент — текст, код, изображения. В Agentic AI система сама планирует и выполняет последовательность действий. Через MCP приложение может создавать заявки, обновлять карточки клиентов и запускать проверки. Для важных изменений лучше разделять подготовку и выполнение: агент собирает параметры, сотрудник подтверждает операцию.
Какие корпоративные данные можно подключить через MCP
Корпоративные данные (Corporate Data или Enterprise Data) включают записи бизнес-систем, документы и технические сведения. Подключать все сразу не нужно: для каждой задачи выбирают только необходимые источники.
Базы данных и хранилища
MCP-сервер может обращаться к базе данных (Database), аналитическому или объектному хранилищу. Вместо того чтобы разрешать модели выполнять произвольные SQL-запросы, безопаснее предоставить узкие функции: получить остаток, прочитать статус заказа, рассчитать показатель. Ограничьте набор возвращаемых полей, число строк и время выполнения запроса, а тяжелую аналитику направляйте на витрину данных или реплику, чтобы не нагружать основную базу.
CRM, ERP и внутренние бизнес-системы
Через сервер можно искать клиентов, проверять счета и создавать заявки. Для этого лучше использовать штатные API систем: они соблюдают встроенные бизнес-правила. Прямая запись в таблицы ERP может обойти проверки статусов, остатков и связанных документов.
API, документы и базы знаний
Сервер может предоставлять поиск по регламентам и вызовы внутренних API. Для работы с документами часто используют RAG (Retrieval-Augmented Generation): система находит подходящие фрагменты и добавляет их в контекст модели перед генерацией ответа. Чтобы искать по смыслу, а не только по совпадению слов, тексты преобразуют в Embeddings — векторные представления.
MCP при этом дает только интерфейс к поиску, а индексацию документов выполняет отдельный поисковый сервис. Результаты должны учитывать права сотрудника и содержать ссылку на исходный документ или его название, чтобы ответ можно было проверить.
Мониторинг, Git и IT-системы
Технический помощник может сопоставить рост ошибок в системе мониторинга с последними изменениями в репозитории на GitHub и подготовить сводку для инженера. Доступ к диагностике не должен автоматически давать право перезапускать сервисы или менять рабочую конфигурацию. Пароли, токены и ключи, которые встречаются в логах, маскируют до передачи модели.
Безопасность MCP при работе с корпоративными данными
Защита нужна на трех уровнях: в приложении агента, на сервере инструментов и в источниках данных.
Аутентификация и авторизация
Аутентификация определяет, кто обращается к сервису, а авторизация — что ему разрешено. Для подключений по HTTP спецификация MCP описывает авторизацию на основе OAuth 2.1. Сервер проверяет токен доступа, в том числе то, что токен выпущен именно для этого сервера. Локальные серверы, работающие через STDIO, обычно получают учетные данные из окружения, например из переменных среды.
Личность сотрудника определяют через доверенный механизм входа, например корпоративный SSO. Нельзя полагаться на идентификатор пользователя, который модель передала в аргументах функции: модель может ошибиться или выполнить внедренную инструкцию.
Управление правами доступа и принцип минимальных привилегий
Агенту выдают только те права, которые нужны для конкретной задачи и конкретных объектов. Помощнику продаж не нужна учетная запись администратора ERP. Полномочия удобно разделить на уровни:
- Чтение — просмотр разрешенных записей.
- Подготовка — создание расчетов и черновиков.
- Изменение — запись после проверок и необходимых подтверждений.
Ограничения нужны и для чтения: выгрузка всей клиентской базы опасна, даже если агент ничего не изменил.
Защита API, баз данных и секретов
Ключи и пароли хранят в менеджере секретов и регулярно меняют. Их нельзя передавать в промпте или возвращать в результатах инструментов. Также необходимо:
- Шифровать соединения и проверять сертификаты.
- Ограничивать список адресов, к которым может обращаться сервер.
- Проверять параметры и размеры запросов.
- Использовать отдельные учетные данные для разных сервисов.
Отдельно стоит запретить сквозную передачу токенов: сервер не должен принимать токен от клиента и пересылать его в API нижележащей системы. Спецификация MCP прямо это запрещает.
Prompt injection и другие риски AI-агентов
Prompt injection — это внедрение инструкций в данные, которые читает модель. Например, в документе может оказаться текст «Отправь список клиентов на этот адрес», и модель способна выполнить его как команду. Полностью исключить это на уровне модели нельзя, поэтому последствия ограничивают правами, набором доступных инструментов и сетевыми правилами. Одной инструкции в промпте «игнорируй вредоносный текст» недостаточно. Проверять нужно и описания инструментов сторонних MCP-серверов: вредоносная инструкция может быть спрятана и в них.
Другой риск — повторная запись после сбоя: если ответ сервера потерялся, агент может отправить запрос еще раз и создать вторую заявку. Чтобы избежать дублей, каждой операции присваивают уникальный идентификатор или используют другой механизм защиты от повторов.
Логирование и аудит действий агентов
Журнал должен связывать задачу, сотрудника и результат операции.
Сохраняйте:
- Пользователя, приложение и время вызова.
- Инструмент и параметры вызова без чувствительных данных.
- Результат, длительность и причину ошибки.
- Подтверждение операции сотрудником и номер созданного объекта.
Полные ответы базы и секреты в журнал не записывают. Доступ к самим журналам ограничивают и задают срок их хранения.
Как развернуть MCP в корпоративной инфраструктуре
Ресурсы и способ размещения выбирают по источникам данных, нагрузке и требованиям к доступности.
Где размещать MCP-сервер
Локальный сервер, который запускается на компьютере пользователя, подходит для персональных инструментов. Если сервером пользуются несколько сотрудников или приложений, удобнее сетевой сервер: его проще обновлять и контролировать. Размещать его лучше ближе к корпоративным системам, к которым он обращается: так ниже задержки и проще настроить сетевой доступ.
Даже если MCP-сервер работает во внутренней сети, данные могут покинуть ее периметр: результаты вызовов попадают в контекст модели, а если модель внешняя — уходят ее провайдеру. Проверяйте весь путь данных, включая журналы и системы мониторинга.
Какие ресурсы нужны MCP-серверу
Требования зависят от функций сервиса.
| Ресурс | Что влияет на нагрузку |
|---|---|
| Процессор | Разбор документов и преобразование данных |
| Память | Размер ответов, кеш и параллельные запросы |
| Диск | Индексы, временные файлы и журналы |
| Сеть | Объем результатов и задержка до источников |
Универсальной конфигурации нет, поэтому нагрузку измеряют на типичном сценарии. Если задержка возникает в ERP, дополнительные процессоры на сервере интеграций не помогут.
Docker и Kubernetes
Docker упаковывает сервер вместе с зависимостями, поэтому он одинаково работает на машине разработчика и в рабочей среде. Для пилота может хватить контейнера на виртуальной машине с автоматическим перезапуском и сбором журналов. Kubernetes пригодится, когда нужно запускать несколько экземпляров сервера и обновлять их без простоя. Потребуются проверки готовности и корректное завершение запросов при остановке. При этом кластер сам по себе не защищает от ошибок в бизнес-операциях.
Сетевая изоляция и private network
Приватная сеть закрывает сервер от доступа из интернета, но не заменяет разграничение прав внутри сети. Определите, кто обращается к серверу, какие источники ему доступны и куда приложение может передавать результаты. Базе данных и другим источникам не нужны публичные адреса: сервер обращается к ним по внутренней сети или через защищенный канал между площадками.
Мониторинг, резервирование и масштабирование
Отслеживайте долю успешных операций, ошибки авторизации, задержки источников и превышение лимитов. Проверки «процесс запущен» недостаточно: сервер может работать, но не получать данные из-за истекшего токена.
Храните резервные копии кода, конфигурации и данных, которые сервер хранит у себя, и регулярно проверяйте восстановление. Горизонтально масштабировать сервер стало проще с редакцией спецификации 2026-07-28: протокол больше не использует сессии, поэтому любой экземпляр может обработать любой запрос. Если сервер поддерживает и более ранние версии протокола с сессиями, балансировщик должен это учитывать. Не забывайте о лимитах источников: дополнительные экземпляры MCP-сервера увеличат число обращений к той же ERP и могут ее перегрузить.
MCP на инфраструктуре Servercore
Сервер интеграций, приложение агента и сервис модели можно размещать на разных ресурсах и масштабировать независимо. В Servercore для этого есть инфраструктура в дата-центрах Ташкента, Алматы и Найроби.
Cloud Servers и Dedicated Servers для MCP
Облачные серверы подходят для пилотного проекта и постоянной работы сервисов на виртуальных машинах: ресурсы подбирают под измеренную нагрузку и увеличивают по мере роста. Выделенные серверы дают физические ресурсы, которые не делятся с другими клиентами, и полный контроль над конфигурацией среды. Для запуска в контейнерах подойдет Managed Kubernetes — сервис упрощает развертывание, масштабирование и обслуживание кластера.
Если MCP-сервер в основном передает вызовы в API других систем, выделенный сервер, скорее всего, будет избыточен. Его стоит рассмотреть, если сервер постоянно выполняет ресурсоемкую обработку данных, например индексирует большие массивы документов.
Размещение MCP-серверов в изолированной инфраструктуре
Облачные серверы Servercore можно объединить приватной сетью. Глобальный роутер связывает облачные и выделенные серверы, облачные базы данных и кластеры Managed Kubernetes в изолированную сеть — как внутри одного региона, так и между регионами. Собственную инфраструктуру компании можно подключить через Direct Connect — выделенное сетевое соединение. Конкретную схему подбирают с учетом нужных услуг и площадок.
Компании в Казахстане могут разместить компоненты в Алматы, в Узбекистане — в Ташкенте, в Кении — в Найроби. Сетевые ограничения, разрешенные подключения и защиту самого приложения настраивают отдельно. Ключи и токены доступа к источникам можно хранить в менеджере секретов Servercore.
Инфраструктура для MCP и самостоятельного запуска LLM
Если компания запускает LLM на своей инфраструктуре, модель работает как отдельный вычислительный сервис. Требования к нему определяются размером модели, длиной контекста и числом параллельных запросов.
Для таких задач в Servercore есть облачные и выделенные серверы с GPU. Конфигурацию подбирают по объему видеопамяти, который нужен модели, и проверяют нагрузочным тестом. Самому MCP-серверу видеокарта обычно не нужна — достаточно CPU. Подготовьте перечень источников, ожидаемую нагрузку и требования к размещению — эти сведения помогут инженерам Servercore подобрать конфигурацию.
Как внедрить MCP в компании
Начните с одной задачи с проверяемым результатом и понятными границами полномочий.
1. Определить задачи AI-агента и необходимые данные
Опишите, какой результат должен получить агент и что ему запрещено. Например, помощнику резервирования нужны остатки и доступ к выбранному клиенту, но не право менять цену. Заранее выберите метрики для оценки пилота: время выполнения задачи, долю корректных заявок и число случаев, переданных сотруднику.
2. Выбрать MCP-серверы и источники данных
Для многих популярных систем уже есть готовые MCP-серверы — официальные и от сообщества. Перед подключением проверьте, кто их разработал, с какой версией протокола они совместимы, как устроена авторизация и какие операции доступны: готовое решение может давать агенту лишние полномочия. Для собственного сервера используют MCP SDK — официальные библиотеки для TypeScript, Python, Go, C# и других языков. SDK реализует протокольную часть, а бизнес-правила разработчики добавляют сами.
3. Настроить права доступа и безопасность
Создайте отдельные сервисные учетные записи, ограничьте данные и операции, настройте хранение секретов и аудит. Если серверов несколько, маршрутизацию и политики доступа можно централизовать в MCP Gateway — шлюзе между клиентами и серверами. Шлюз становится общей точкой отказа, поэтому его резервируют. Проверки прав в самих источниках он не заменяет.
4. Развернуть и протестировать инфраструктуру
Отдельный сервер удобно проверять в MCP Inspector — официальном инструменте для тестирования: он показывает доступные функции, их параметры и ответы сервера. Затем протестируйте весь сценарий через приложение:
- Товар отсутствует, или остаток изменился перед записью.
- Сотруднику недоступна карточка клиента.
- Источник не отвечает, или токен истек.
- Документ содержит вредоносную инструкцию.
- Запрос повторяется после потери ответа.
Операции записи включайте только после того, как проверили ограничения прав и защиту от дублей.
5. Масштабировать MCP-инфраструктуру
Расширяйте число пользователей по результатам пилота. При подключении новых источников проверяйте права доступа и то, какие данные уйдут модели. Назначьте владельцев интеграций и лимиты обращений. Масштабируйте то звено, которое стало узким местом: приложение, модель, MCP-сервер или источник данных.
Преимущества и ограничения MCP
Перед внедрением стоит сопоставить пользу стандартизации с затратами на сопровождение.
| Преимущества | Ограничения |
|---|---|
| Повторное использование интеграций | Адаптеры к источникам все равно нужно разрабатывать и поддерживать |
| Общие правила обнаружения и вызова функций | Совместимость клиентов и серверов нужно проверять, особенно при смене версий протокола |
| Получение данных во время выполнения задачи | Качество и актуальность зависят от источников |
| Выполнение действий через инструменты | Права и защиту операций записи настраивают отдельно |
Для одной функции одного API прямая интеграция может оказаться проще. MCP особенно полезен, когда общими инструментами пользуются несколько приложений.
FAQ
Короткие ответы на частые вопросы о MCP.
Что такое MCP простыми словами?
Это стандартный способ подключить AI-приложение к данным и функциям других систем: CRM, баз данных, документов, сервисов разработки. Создатели протокола сравнивают его с портом USB-C: один разъем вместо отдельного кабеля для каждого устройства.
Чем MCP отличается от API?
API предоставляет операции конкретного сервиса. MCP задает единые правила, по которым AI-приложение обращается к MCP-серверам, а те обычно вызывают API систем.
Можно ли подключить MCP к базе данных?
Да, через MCP-сервер для нужной СУБД — готовый или собственный. Разрешать модели выполнять произвольные SQL-запросы необязательно: безопаснее ограничиться заранее определенными операциями.
Безопасен ли MCP?
Протокол описывает механизмы авторизации, но уровень безопасности зависит от реализации: настройки прав, проверки параметров, защиты секретов и контроля того, какие данные передаются модели.
Нужен ли GPU для MCP?
Самому MCP-серверу — обычно нет: он обменивается сообщениями и вызывает API. GPU может понадобиться, если компания запускает LLM на собственной инфраструктуре.