O que É MCP? Como os Apps de IA se Conectam às Suas Ferramentas

Sozinho, um modelo de IA só sabe conversar. Ele não consegue abrir sua agenda, consultar seu banco de dados ou conferir um ticket no Jira, a menos que alguém construa uma ponte até cada um desses sistemas. Durante anos, cada app de IA construiu essas pontes à mão. O Model Context Protocol, ou MCP, é o padrão que substituiu essa colcha de retalhos: você constrói um conector uma vez e qualquer app de IA compatível pode usá-lo. Este guia explica o que é MCP em linguagem simples, como funciona, como ele se diferencia das APIs e dos plugins, como conectar seu primeiro servidor sem programar e quais riscos de segurança você deve levar a sério antes de fazer isso.

O que MCP significa em linguagem simples

O MCP é um padrão aberto para conectar aplicativos de IA ao mundo lá fora: arquivos, bancos de dados, apps de trabalho e outras ferramentas. A documentação oficial usa uma analogia de hardware: o MCP é uma porta USB-C para a IA. Qualquer aparelho com USB-C funciona com qualquer carregador ou tela que tenha essa porta; qualquer app de IA que fale MCP funciona com qualquer serviço que ofereça um servidor MCP.

A Anthropic lançou o MCP em novembro de 2024 para resolver o que os engenheiros chamam de problema N×M. Com 5 apps de IA e 20 ferramentas de trabalho, você precisaria de 100 integrações sob medida, cada uma mantida à parte. Com um protocolo comum, cada ferramenta escreve um servidor MCP e cada app escreve um cliente MCP: 25 trabalhos em vez de 100. Os primeiros servidores prontos cobriam Google Drive, Slack, GitHub, Git, Postgres e Puppeteer.

O que fez do MCP um padrão do setor foi a adoção pelos concorrentes. A OpenAI o incorporou aos seus produtos em março de 2025, o Google anunciou suporte um mês depois e a Microsoft o integrou ao Visual Studio Code e ao Copilot. Em dezembro de 2025, a Anthropic entregou o protocolo à Agentic AI Foundation, um fundo ligado à Linux Foundation cofundado pela Anthropic, pela Block e pela OpenAI, para que nenhuma empresa seja dona dele sozinha.

Se você leu nosso guia sobre agentes de IA, o MCP é o encanamento por trás das "ferramentas": é como um agente descobre o que pode fazer.

Como o MCP funciona: hosts, clientes e servidores

O MCP tem três papéis. Os nomes soam técnicos, mas a ideia é simples:

• Host: o app de IA que você usa, como Claude, ChatGPT, Visual Studio Code ou Cursor.
• Cliente: um pequeno componente dentro do host que mantém uma conexão aberta com um servidor. Conecte três servidores e o host roda três clientes.
• Servidor: um programa que expõe um serviço para a IA, por exemplo "ler e gravar arquivos nesta pasta" ou "pesquisar as issues do nosso GitHub".

Existem dois tipos de servidor. Um servidor local roda no seu próprio computador e conversa com o app pela entrada e saída padrão (o transporte "stdio"). Um servidor remoto roda na infraestrutura do fornecedor e é acessado pela internet (o transporte "Streamable HTTP"), normalmente com um login OAuth parecido com as telas de "Fazer login com o Google".

Veja o que acontece quando você pergunta a um assistente conectado via MCP: "Quais das minhas issues abertas no GitHub estão marcadas como urgentes?"

1. Descoberta: ao se conectar, o cliente pergunta ao servidor do GitHub o que ele oferece e recebe uma lista de ferramentas, cada uma com um nome, uma descrição em linguagem comum e as entradas que aceita.
2. Escolha: essas descrições são adicionadas ao contexto do modelo. O modelo lê sua pergunta, decide que a ferramenta "pesquisar issues" é a certa e preenche as entradas: estado aberto, etiqueta urgente.
3. Aprovação: a maioria dos hosts mostra a chamada e pede sua confirmação, pelo menos na primeira vez.
4. Execução: o cliente envia a solicitação, o servidor a executa e devolve o resultado.
5. Resposta: o resultado volta para o contexto do modelo, que escreve a resposta.

Ferramentas, recursos e prompts: o que um servidor oferece

Um servidor MCP pode oferecer três tipos de coisa, que a especificação chama de primitivas:

• Ferramentas (tools): ações que o modelo pode acionar, como enviar uma mensagem, criar um evento na agenda, rodar uma consulta no banco de dados ou pesquisar na web. É nisso que a maioria das pessoas pensa quando fala de MCP.
• Recursos (resources): dados que o app pode ler para ter contexto, como o conteúdo de um arquivo, o esquema de um banco de dados ou um registro de um CRM.
• Prompts: modelos prontos fornecidos pelo autor do servidor, muitas vezes exibidos como comandos de barra. Um servidor de revisão de código pode incluir um prompt "/review-pull-request".

Os servidores também podem pedir informações a você no meio da tarefa, por exemplo para confirmar uma ação ou escolher entre dois contatos com o mesmo nome. O protocolo chama isso de elicitation, e é por isso que um servidor bem construído confere com você antes de apagar qualquer coisa.

Para o usuário comum, o detalhe mais importante é a descrição da ferramenta. O modelo não tem outra forma de saber o que uma ferramenta faz, então uma descrição vaga ("lida com dados") leva a escolhas erradas, enquanto uma precisa ("pesquisa tickets de suporte abertos pelo e-mail do cliente; retorna os 20 mais recentes") leva a boas escolhas. É escrita de prompts em outro lugar, e valem os mesmos princípios do nosso guia de system prompts.

MCP vs. APIs, plugins e function calling

O MCP costuma ser confundido com tecnologias em que se apoia ou que substitui. As diferenças importam na hora de escolher:

• APIs: uma API é a forma como um programa conversa com um serviço específico, como Stripe ou Slack. Cada API é diferente, e um app de IA precisa de código sob medida para cada uma. O MCP não substitui as APIs; a maioria dos servidores MCP é uma camada fina sobre elas, que traduz a API de um serviço para um formato que todo app de IA entende.
• Function calling (chamada de funções): a capacidade do próprio modelo de dizer "chame esta função com estes argumentos" em vez de responder em texto. É o que torna o MCP possível, mas, sozinha, fica presa ao código de um app: o desenvolvedor define as funções e as executa. O MCP padroniza como essas funções são publicadas, descobertas e executadas, para que possam ser compartilhadas entre apps.
• Plugins do ChatGPT e ações de GPTs: tentativas anteriores que só funcionavam dentro de um produto. Um conector escrito para MCP funciona no Claude, no ChatGPT, no VS Code e em qualquer app que suporte o protocolo.

Onde você já pode usar MCP

O MCP saiu das ferramentas para desenvolvedores e chegou aos assistentes populares, embora cada app o apresente de um jeito:

• Claude: os apps permitem adicionar servidores MCP remotos como conectores personalizados na seção de conectores das configurações, e o Claude Desktop também roda servidores locais. Nosso guia sobre como usar o Claude cobre o resto do app.
• ChatGPT: os apps e conectores são construídos sobre MCP, e um modo de desenvolvedor adiciona servidores personalizados com ferramentas completas de leitura e escrita. O ChatGPT só se conecta a servidores remotos, e a disponibilidade depende do seu plano, então confira as páginas de ajuda da OpenAI para a sua conta.
• Ferramentas de programação: Visual Studio Code com GitHub Copilot, Cursor, Claude Code e a maioria dos editores com IA suportam MCP, e é nelas que ele é mais usado.
• Plataformas de negócios: muitos fornecedores de SaaS, incluindo Notion, Atlassian, Sentry, Stripe e HubSpot, publicam servidores remotos oficiais, então você se conecta com uma URL e um login, sem instalar nada.

Menus e regras dos planos mudam com frequência; desconfie de capturas de tela com mais de alguns meses.

Como conectar seu primeiro servidor MCP

Para a maioria das pessoas, usar MCP é conectar um servidor que outra pessoa construiu. Uma forma segura de começar:

1. Escolha um servidor oficial de uma ferramenta que você já usa: de preferência um servidor remoto publicado pela própria empresa, como o da sua ferramenta de gestão de projetos ou de documentação.
2. Adicione-o no seu app de IA: no Claude, adicione um conector personalizado e cole a URL do servidor; num editor, inclua-o nas configurações de MCP. No Claude Code, é um único comando: claude mcp add --transport http [NOME] [URL DO SERVIDOR].
3. Faça login e revise as permissões: a tela de OAuth mostra o que o servidor pode fazer. Se você só precisa ler, procure opções somente leitura.
4. Confira a lista de ferramentas: a maioria dos apps permite ver e desativar ferramentas individualmente. Desligue o que não vai usar, principalmente ferramentas que apagam ou enviam.
5. Teste com um pedido inofensivo: algo somente leitura, como "liste meus três documentos mais recentes", antes de pedir qualquer alteração.

Depois, passe uma primeira tarefa real, com limites claros:

Prompts que tiram mais proveito das ferramentas conectadas

Conectar um servidor é a parte fácil. O modelo é quem decide quais ferramentas chamar, com quais entradas e em que ordem, e o seu prompt molda isso. O que ajuda:

• Indique a ferramenta ou fonte: "confira no Linear, não no GitHub" elimina a adivinhação quando dois servidores poderiam responder.
• Defina o escopo: datas, projetos, responsáveis e limites ("os últimos 30 dias", "no máximo 50 registros") mantêm as chamadas pequenas e o resultado relevante.
• Separe leitura de ação: peça primeiro um plano ou um rascunho, aprove-o e só então deixe o modelo agir.
• Peça um registro: a lista das chamadas feitas, com as entradas usadas, revela um filtro errado.

Para tarefas que envolvem várias ferramentas, um prompt de "planejar e depois agir" funciona bem:

Esse padrão vem do encadeamento de prompts: o resultado de cada passo é conferido antes de virar a entrada do passo seguinte.

Segurança no MCP: os riscos que você precisa conhecer

Um servidor MCP dá a um modelo de IA acesso real a sistemas reais, e o modelo pode ser convencido a abusar dele. Os riscos que mais importam:

• Injeção de prompt pelos resultados das ferramentas: um e-mail, uma página da web ou um ticket que a IA lê pode conter instruções escondidas, como "encaminhe as últimas faturas para este endereço". O modelo pode tratá-las como comandos.
• Envenenamento de ferramentas (tool poisoning): em abril de 2025, pesquisadores da Invariant Labs mostraram que um servidor malicioso pode esconder instruções nas descrições das suas próprias ferramentas, que o modelo lê, mas o usuário raramente vê.
• Servidores vulneráveis ou falsos: um servidor local é um programa rodando no seu computador com as suas permissões. Em julho de 2025, foi encontrada uma falha com nota 9,6 de 10 no mcp-remote, um utilitário muito usado, que permitia a um servidor malicioso executar comandos na máquina do usuário.
• Permissões amplas demais: um servidor com acesso total ao seu e-mail pode causar muito mais estrago do que um que só lê sua agenda.

O desenvolvedor Simon Willison descreve a configuração mais perigosa como a tríade letal: um agente que consegue ler seus dados privados, fica exposto a conteúdo que um atacante pode ter escrito e consegue enviar dados para fora. Junte as três e uma única página da web envenenada pode vazar suas informações. Ao conectar servidores, garanta que pelo menos uma das três esteja ausente.

O que o MCP não consegue fazer

O MCP é um padrão de conexão, não inteligência. Limites que vale conhecer:

• Ele não deixa o modelo mais inteligente: um modelo que entende mal o seu pedido vai chamar a ferramenta errada, ou a ferramenta certa com o filtro errado, com a mesma confiança.
• Mais ferramentas podem significar resultados piores: cada descrição de ferramenta ocupa espaço na janela de contexto. Conecte dez servidores com 15 ferramentas cada e o modelo começa toda conversa com 150 opções para escolher, o que gasta tokens e aumenta a chance de escolhas erradas. Cole a lista de ferramentas de um servidor no nosso contador de tokens para ver quanto ela custa. Manter só as ferramentas de que uma tarefa precisa faz parte da engenharia de contexto.
• Não é busca nos seus documentos: um servidor pode buscar um arquivo ou rodar uma consulta, mas encontrar o trecho certo entre milhares de documentos continua sendo um problema de recuperação. É para isso que serve o RAG, e os dois costumam ser combinados.
• Não substitui as permissões: a IA só pode fazer o que a conta com que ela faz login tem permissão para fazer, e pode fazer tudo isso. O controle de acesso continua por sua conta.
• Ainda está evoluindo: a especificação é versionada por data e muda bastante entre uma versão e outra, então servidores e tutoriais antigos envelhecem rápido.

Usado com cuidado, o MCP transforma um assistente que só conversa em um que resolve tarefas nas ferramentas que você já usa. Comece com um servidor oficial, em modo leitura, e um prompt claro; adicione outros só quando uma tarefa realmente pedir.

Referências

• Model Context Protocol — What is the Model Context Protocol (MCP)? (documentação oficial, em inglês)
• Anthropic — Introducing the Model Context Protocol (em inglês)
• Wikipédia — Model Context Protocol