MCP: standard pro napojení nástrojů

Pamatuješ si dobu, kdy měl každý telefon jinou nabíječku? Doma jsi měl šuplík kabelů a k novému zařízení stejně žádný nepasoval. Pak přišel USB-C a jeden kabel najednou nabíjí telefon, notebook i sluchátka. S AI aplikacemi a firemními systémy to donedávna vypadalo podobně jako s tím šuplíkem.

V lekci Volání nástrojů jsi viděl, že model umí požádat o spuštění nástroje a aplikace mu vrátí výsledek. Každý takový nástroj ale musí někdo naprogramovat a napojit. Tahle lekce je o standardu, který z toho dělá jednorázovou práci místo nekonečného šití na míru: o MCP.

Problém: každý s každým

Představ si firmu, která používá tři AI aplikace: chatovacího asistenta pro zaměstnance, kódovacího agenta pro vývojáře a vlastního zákaznického bota. A chce je napojit na pět systémů: firemní disk, CRM, databázi objednávek, systém na úkoly a interní wiki.

Bez společného standardu musí někdo napsat propojení zvlášť pro každou dvojici. Tři aplikace krát pět systémů je patnáct integrací, každá trochu jiná, každá se rozbije jinak, když se něco změní. A výrobce CRM, který chce, aby jeho systém fungoval s AI asistenty, musí napsat zvláštní doplněk pro každého asistenta na trhu.

Se společným standardem stačí, aby každý systém jednou „mluvil“ standardem a každá aplikace jednou uměla standardu „rozumět“. Z patnácti integrací je osm (tři plus pět) a každý nový systém nebo nová aplikace přidá jen jednu.

MCP(Model Context Protocol)

Otevřený standard, který popisuje, jak se AI aplikace připojují k externím systémům: k souborům, databázím, nástrojům a službám. Systém, který MCP nabízí, funguje v každé AI aplikaci, která MCP podporuje, bez zvláštního propojení pro každou z nich.

Oficiální web MCP to přirovnává právě k USB-C: tak jako USB-C poskytuje jednotný způsob, jak propojit elektronická zařízení, poskytuje MCP jednotný způsob, jak propojit AI aplikace s externími systémy. Specifikace sama uvádí ještě jednu inspiraci, srozumitelnou spíš vývojářům: Language Server Protocol, který kdysi podobně sjednotil, jak programovací editory podporují různé programovací jazyky.

Kdo je kdo: hostitel, klient, server

MCP má tři role. Názvy zní technicky, ale princip je jednoduchý.

• Hostitel (host) je AI aplikace, se kterou pracuješ: chatovací asistent jako Claude nebo ChatGPT, vývojářský editor jako Visual Studio Code, kódovací agent, nebo aplikace, kterou si firma postaví sama. Hostitel obsahuje model a rozhoduje, co se modelu nabídne.
• Klient (client) je součástka uvnitř hostitele, která udržuje spojení s jedním konkrétním serverem. Když je hostitel připojený ke třem serverům, má tři klienty. Jako uživatel klienta nikdy nevidíš, je to vnitřní detail.
• Server (server) je program, který zpřístupňuje nějaký systém: soubory, Google Drive, GitHub, databázi, firemní CRM. Server „ví“, jak s tím systémem mluvit, a nabízí jeho funkce standardizovaným způsobem.

Slovo „server“ je trochu matoucí: nemusí to být žádný velký počítač v datovém centru. MCP server je prostě program, který na požádání poskytuje data a funkce, a může běžet klidně na tvém notebooku.

Co server nabízí: nástroje, zdroje, prompty

Specifikace MCP definuje tři základní věci, které server může nabídnout. Liší se tím, kdo je používá.

Nejčastěji se v praxi používají nástroje. Jsou to přesně ty nástroje z lekce o volání nástrojů, jen s tím rozdílem, že je nepopisuje a neprogramuje autor AI aplikace, ale autor serveru. Aplikace se po připojení serveru zeptá „jaké nástroje nabízíš?“, dostane seznam s názvy, popisy a tím, jaké údaje každý nástroj potřebuje, a ten seznam předá modelu. Model pak volá nástroje, aplikace volání přepošle správnému serveru a výsledek vrátí modelu.

// aplikace se ptá serveru na nástroje
{ "jsonrpc": "2.0", "id": 2, "method": "tools/list" }

// server odpovídá seznamem
{ "jsonrpc": "2.0", "id": 2, "result": { "tools": [
  { "name": "crm_find_customer",
    "description": "Najde zákazníka podle jména nebo IČO",
    "inputSchema": { "type": "object",
      "properties": { "query": { "type": "string" } },
      "required": ["query"] } }
] } }

// později, když model nástroj zvolí
{ "jsonrpc": "2.0", "id": 3, "method": "tools/call",
  "params": { "name": "crm_find_customer",
              "arguments": { "query": "Novák s.r.o." } } }

Existuje i opačný směr: aplikace může serveru nabídnout pár věcí. Nejdůležitější je možnost, aby se server zeptal uživatele na doplňující informaci nebo potvrzení (elicitation). Pro základní pochopení ale stačí tři věci, které nabízí server.

Lokální a vzdálené servery

MCP servery běží dvěma způsoby a ten rozdíl je důležitý pro bezpečnost i správu.

Lokální server běží na stejném počítači jako AI aplikace. Aplikace ho spustí jako program a komunikuje s ním přímo. Typický příklad je server pro práci se soubory: AI asistent na tvém notebooku díky němu čte a upravuje soubory v povolené složce. Lokální server má přístup k tomu, k čemu má přístup tvůj počítač, a běží s tvými oprávněními.

Vzdálený server běží jinde, na internetu nebo ve firemní síti, a aplikace se k němu připojuje přes síť. Typicky ho provozuje výrobce služby: firma, která dělá systém na správu chyb nebo úkolů, nabídne vlastní MCP server a ty se k němu jen přihlásíš. Specifikace pro přihlašování doporučuje standard OAuth, tedy totéž „Přihlásit se přes…“ s výběrem oprávnění, které znáš z běžných aplikací.

Pro firmu to znamená: vzdálené servery se snáz spravují centrálně (jedno místo, přihlášení přes firemní účty, žádná instalace na počítače), lokální servery dávají smysl tam, kde data nemají opustit počítač, nebo pro vývojáře.

Příklady: co se přes MCP dá připojit

Když Anthropic MCP v listopadu 2024 představil, zveřejnil spolu se specifikací hotové servery například pro Google Drive, Slack, GitHub, Git a databázi Postgres. Od té doby jich vznikly tisíce. Typické kategorie:

• Soubory a dokumenty: lokální složky, firemní disky, wiki.
• Vývojářské nástroje: GitHub (repozitáře, úkoly, pull requesty), systémy na sledování chyb.
• Databáze: model může položit dotaz do databáze a odpovědět z aktuálních dat. Server přitom typicky nabízí nástroj pro dotazy a jako zdroj popis tabulek.
• Firemní aplikace: CRM, systém na úkoly, kalendář, komunikační nástroje. Mnoho výrobců dnes nabízí oficiální vzdálený server.
• Vlastní systémy: firma si napíše server nad svým interním systémem (sklad, ceník, objednávky) a ten pak funguje ve všech AI aplikacích, které používá.

Ten poslední bod je pro firmy často nejzajímavější. Místo toho, abys interní systém napojoval zvlášť na chatovacího asistenta, na agenta pro zákaznickou podporu a na automatizační platformu, napíšeš jeden MCP server. Zda to dává smysl, nebo je lepší jiná cesta, řeší i lekce Koupit, nebo postavit.

Kdo MCP podporuje

MCP začalo jako projekt Anthropicu, ale rychle se z něj stal oborový standard. Podle oficiálního blogu MCP z prosince 2025 ho jako klienti podporovaly hlavní AI platformy včetně ChatGPT, Gemini, Microsoft Copilotu a Visual Studio Code, vedle Clauda a editoru Cursor. Google Cloud ve stejném měsíci oznámil vlastní spravované MCP servery pro své služby.

Důležitý krok přišel 9. prosince 2025: Anthropic předal MCP nově založené nadaci Agentic AI Foundation (AAIF), která funguje pod Linux Foundation. Spoluzaložily ji firmy Anthropic, OpenAI a Block, s podporou dalších (mimo jiné Google, Microsoft, AWS a Cloudflare). Podle oznámení zůstává technické řízení projektu u jeho správců a nadace poskytuje neutrální zázemí. Pro firmu, která zvažuje, jestli na MCP stavět, je to podstatné: standard už nepatří jedné firmě, která by ho mohla změnit podle svých obchodních zájmů.

Bezpečnost: server je kód s přístupem k tvým datům

Teď ta nejdůležitější část. MCP je norma pro zásuvku. Neříká nic o tom, jestli je spotřebič, který do ní zapojíš, bezpečný. Specifikace to říká přímo: MCP otevírá cestu k libovolným datům a ke spouštění kódu a protokol sám bezpečnost vynutit nemůže. Odpovědnost nesou ti, kdo servery píšou, aplikace, které je připojují, a ti, kdo rozhodují, co se připojí.

Konkrétní rizika:

• Server je software od někoho. Lokální server je program, který běží na tvém počítači s tvými oprávněními. Bezpečnostní doporučení MCP výslovně varuje, že škodlivý server nebo škodlivý příkaz v jeho konfiguraci může číst soubory a odesílat je ven. Instalovat MCP server z neznámého zdroje je stejné jako instalovat jakýkoli neznámý program.
• Popisům se nedá slepě věřit. Specifikace upozorňuje, že popisy toho, co nástroj dělá, je třeba považovat za nedůvěryhodné, pokud nepocházejí z důvěryhodného serveru. Nástroj, který se tváří jako „čtení kalendáře“, může dělat něco jiného.
• Prompt injection přes výsledky nástrojů. Tohle je specifické pro AI. Výsledek nástroje (obsah e-mailu, dokumentu, webové stránky, záznamu v databázi) jde přímo do konverzace s modelem. Když v něm někdo schová pokyn, model ho může vzít za instrukci. Server pro čtení e-mailů tak může nechtěně doručit modelu útok od kohokoli, kdo ti pošle e-mail. Víc v lekci Prompt injection.
• Moc široká oprávnění. Server, který dostane plný přístup k firemnímu disku, když potřebuje jednu složku, zvětšuje dopad každé chyby i každého útoku. Bezpečnostní doporučení MCP proto radí začínat s minimálními oprávněními a přidávat je, až když jsou potřeba.
• Kombinace serverů. Každý server zvlášť může být v pořádku, ale agent připojený zároveň k serveru, který čte cizí obsah, a k serveru, který umí posílat data ven, vytváří cestu pro únik dat.

Specifikace sama vyžaduje, aby aplikace získala výslovný souhlas uživatele, než nástroj spustí, a aby uživatel rozuměl, co nástroj dělá. V praxi to znamená okénko „Povolit tento nástroj?“. Jeho slabinou je lidská únava: když se ptá u všeho, lidé začnou klikat „povolit vždy“. Proto je lepší omezit, co server vůbec smí, než spoléhat na to, že uživatel každý dotaz pečlivě přečte. Jak takový systém oprávnění navrhnout, rozebírá lekce Oprávnění a lidská kontrola.

Co si z toho vzít

MCP je pro tebe jako zadavatele dobrá zpráva: když systém, který používáš, nabízí MCP server, dá se napojit na různé AI aplikace bez vývoje na míru, a když si firma napíše vlastní server, nezamyká se u jednoho dodavatele AI. Zároveň je každý připojený server rozhodnutím o tom, kam AI dosáhne. Ber ho stejně vážně jako přidělení přístupu novému zaměstnanci.

V poslední lekci modulu se podíváme na automatizační platformy jako n8n, Make nebo Zapier, které dnes MCP umějí používat i nabízet.

Zdroje a další čtení

• Model Context Protocol: What is MCP? – oficiální úvod do standardu.
• Model Context Protocol: Architecture overview – hostitelé, klienti, servery, lokální a vzdálené servery a co server nabízí.
• Model Context Protocol: Security Best Practices – známé útoky na MCP a jak se jim bránit.
• Anthropic: Introducing the Model Context Protocol – původní oznámení z listopadu 2024.
• MCP blog: MCP joins the Agentic AI Foundation – předání MCP pod Linux Foundation a stav podpory na konci roku 2025.