« Il te suffit de brancher le serveur MCP. » La phrase circule depuis un an dans les documentations d’outils IA, sur un ton qui suppose que tu sais déjà de quoi il s’agit. Trois lettres, aucune explication. Voyons ce qu’elles recouvrent vraiment, et surtout ce que tu acceptes quand tu suis l’instruction.
L’essentiel : le MCP, c’est quoi ?
Le MCP, pour Model Context Protocol, est une langue commune qui permet à une IA d’aller se servir dans un logiciel extérieur : lire un fichier, interroger une base, publier un message, consulter un agenda. Anthropic l’a publié le 25 novembre 2024 comme « un standard ouvert qui permet de construire des connexions sécurisées et bidirectionnelles entre des sources de données et des outils propulsés par l’IA ».
Sans le vocabulaire : ce n’est pas une IA, ce n’est pas un logiciel, ce n’est pas un produit que tu achètes. C’est une convention. Un accord sur la façon de se parler, au même titre que le protocole qui affiche cette page dans ton navigateur.
La comparaison qui traîne dans tous les articles, c’est la prise USB-C. Elle est commode, je vais m’en servir aussi, mais elle escamote le point le plus intéressant. Une prise USB-C ne décide rien. Ici, ce qui se branche à l’autre bout, c’est un modèle de langage qui choisit lui-même quand se servir, et de quoi.
Le problème qu’il règle
Avant le MCP, relier une IA à un outil demandait un développement sur mesure. Une intégration pour connecter Claude à ton Drive, une autre pour connecter ChatGPT au même Drive, une troisième pour brancher Claude sur ton CRM. Chaque paire réclamait son propre travail, avec sa propre authentification et ses propres bugs.
Le calcul devient vite pénible : trois IA et quatre outils, ce sont déjà douze branchements à écrire, puis à maintenir. Passe à dix outils, tu en as trente. Le MCP casse cette multiplication. L’éditeur de l’outil publie un serveur MCP, et n’importe quelle IA qui parle le protocole sait s’en servir.
C’est tout le mérite de l’affaire, et il est réel : ce n’est pas une prouesse technique, c’est un accord. La partie difficile n’a jamais été la technique. Elle a été de convaincre des concurrents d’utiliser le même format.
Comment ça marche : trois rôles
Le protocole distribue trois rôles, et les confondre est la principale source de confusion.
L’hôte, c’est l’application dans laquelle tu écris : Claude, un éditeur de code, un assistant de bureau. Le client est la partie de cette application qui parle le protocole, et tu n’as jamais à t’en occuper. Le serveur, enfin, est le petit programme fourni par l’outil que tu veux connecter. C’est lui qui annonce : voilà ce que je sais faire, voilà comment m’appeler.
Un serveur MCP ne fait donc rien de sa propre initiative. Il présente un catalogue de capacités, et attend. C’est le modèle, en face, qui lit ce catalogue et décide d’appeler telle fonction plutôt que telle autre. Autrement dit, le MCP ne rend pas une IA autonome : il donne des mains à une IA qui l’est déjà devenue, ce qui est précisément ce qui définit un agent IA.
À quoi ça ressemble quand on s’en sert
Le concept reste abstrait tant qu’on ne l’a pas branché. Le banc d’essai l’a fait en juillet 2026 sur un planificateur de réseaux sociaux, Publora : serveur MCP connecté à un assistant en une commande, seize fonctions exposées d’un coup, puis un message rédigé, programmé, modifié et publié en langage normal, sans jamais ouvrir le tableau de bord de l’outil.
Voilà ce que le protocole change en pratique. Tu ne pilotes plus une interface, tu formules une intention. L’IA traduit, appelle les bonnes fonctions, te rend le résultat.
Un point mérite d’être noté, parce qu’il tempère l’enthousiasme : ce qui marche bien reste ce que l’éditeur a exposé. Un serveur MCP n’ouvre pas magiquement toutes les fonctions d’un logiciel, il ouvre celles que quelqu’un a pris la peine de décrire. Quand la fonction manque au catalogue, l’IA ne l’invente pas.
Ce qui change avec la révision du 28 juillet 2026
Le protocole vient de vivre la plus grosse révision depuis son lancement. La version définitive, publiée par les mainteneurs le 28 juillet 2026, supprime la session au niveau du protocole, ainsi que la poignée de main d’ouverture qui servait à négocier les capacités : elles voyagent désormais dans chaque requête. Trois extensions officielles apparaissent au passage : la gestion des tâches longues, une autorisation pensée pour l’entreprise, et surtout MCP Apps, qui autorise un serveur à livrer une véritable interface graphique affichée par l’hôte dans un cadre isolé.
Ce que ça t’apporte, à toi qui utilises l’outil sans l’héberger : à peu près rien de visible, et c’est très bien ainsi. Le gain concerne ceux qui font tourner ces serveurs, qui pourront enfin les répartir sur plusieurs machines sans bricolage.
Ce que ça coûte, en revanche, est écrit noir sur blanc dans l’annonce : la révision suppose une part de migration, en particulier pour qui s’appuyait sur les identifiants de session. Le texte définitif tempère la casse par une politique de dépréciation formelle : douze mois de sursis pour les usages concernés, dont l’ancien transport HTTP+SSE. Si un branchement qui fonctionnait se met à échouer dans l’année qui vient, cherche là avant de chercher ailleurs. Un standard qui remanie sa compatibilité vingt mois après sa naissance, ce n’est pas un scandale, c’est le prix d’un protocole encore jeune. Autant le savoir.
Ce que tu autorises vraiment en le branchant
Passons au point que les tutoriels d’installation traitent en une ligne. Brancher un serveur MCP, ce n’est pas installer une extension de navigateur. C’est donner à un modèle le droit d’agir sur un outil en ton nom.
La question n’est pas théorique. Des chercheurs de l’Unit 42 de Palo Alto Networks ont publié le 5 décembre 2025 une démonstration de trois attaques menées depuis un serveur malveillant : détournement de ressources de calcul, prise de contrôle de la conversation sur plusieurs tours, et déclenchement d’actions sur des fichiers sans accord explicite de l’utilisateur. Les trois ont fonctionné dans un environnement réel. Leur conclusion tient en une phrase que je trouve remarquablement claire : le mécanisme visé « repose sur un modèle de confiance implicite et manque de contrôles de sécurité robustes ».
Ce même protocole vient d’en tirer une conséquence, volontaire ou non : la fonction que ces attaques exploitaient, le sampling, entre en dépréciation dans la version 2026-07-28. Elle continue de fonctionner un an, le temps de la transition, mais elle est sur la sortie. Rien dans l’annonce officielle ne présente ce retrait comme une réponse à la recherche d’Unit 42, et je me garde de l’affirmer comme telle. Ce qui reste vrai : le mécanisme visé par les trois attaques n’est plus celui sur lequel le protocole mise pour l’avenir.
Le mécanisme de l’attaque est simple à saisir. Le serveur glisse des instructions déguisées dans ce qu’il renvoie au modèle, qui les lit comme s’il s’agissait de consignes légitimes. Ce que cette recherche établit : un serveur MCP hostile peut manipuler l’IA qui lui fait confiance. Ce qu’elle n’établit pas : que le protocole soit cassé, ni que les serveurs que tu utilises soient compromis.
La règle pratique tient donc en peu de mots. Un serveur MCP se traite comme un logiciel à qui tu donnes tes clés, pas comme un module anodin : on regarde qui le publie, et on évite de brancher au hasard le premier dépôt trouvé. Le tri se fait avant l’installation, pas après.
Les questions qui reviennent
Le MCP appartient-il à Anthropic ?
Plus depuis le 9 décembre 2025. Anthropic a donné le protocole à l’Agentic AI Foundation, un fonds hébergé par la Linux Foundation, co-fondé avec Block et OpenAI, et soutenu par Google, Microsoft, AWS, Cloudflare et Bloomberg. Quand une entreprise confie sa création à une fondation neutre et que ses concurrents directs la rejoignent, c’est en général qu’ils ont plus à gagner à s’entendre qu’à imposer chacun son format. C’est aussi, accessoirement, ce qui distingue un standard d’un produit.
Faut-il savoir coder pour utiliser un serveur MCP ?
Non pour s’en servir, un peu pour l’installer. Le branchement se fait souvent en une commande à recopier, fournie par l’éditeur, et tout ce qui suit se passe en langage normal. La vraie compétence à avoir n’est pas technique : c’est de savoir décider à quel serveur tu accordes ta confiance. Et ne confonds pas un serveur MCP avec un skill Claude : le premier donne un accès, le second une procédure.
MCP et API, c’est la même chose ?
Non, et le MCP repose d’ailleurs souvent sur une API. Une API est faite pour être appelée par un programme, écrit par un développeur qui a lu la documentation. Un serveur MCP, lui, décrit ses fonctions dans un format qu’un modèle peut comprendre tout seul, au moment où il en a besoin. La différence tient à qui lit le mode d’emploi.
À retenir
- Le MCP est une convention, pas un logiciel : une langue commune qui permet à une IA d’utiliser des outils extérieurs sans intégration sur mesure.
- Trois rôles : l’hôte (l’application où tu écris), le client (la plomberie), le serveur (le programme qui expose les fonctions d’un outil).
- Le serveur propose, le modèle décide. C’est ce qui en fait un sujet de sécurité et pas seulement de confort.
- Depuis décembre 2025 le protocole appartient à une fondation neutre, et la révision 2026-07-28, définitive depuis sa sortie, remanie la compatibilité avec les versions antérieures sous une fenêtre de transition de douze mois.