Što je MCP server? Kako MCP i MCP UI rade u 2026.

Dana 1. travnja 2025. Invariant Labs objavio je alat nazvan add. Primao je dva broja i vraćao njihov zbroj. Njegov opis sadržavao je i blok označen s IMPORTANT, nevidljiv u sučelju klijenta, koji je modelu nalagao da pročita ~/.cursor/mcp.json i ~/.ssh/id_rsa te obje datoteke iznese kroz suvišan parametar. Model je poslušao. Korisnik je vidio zbrajanje.

Ta demonstracija najkorisniji je uvod u MCP servere koji poznajem, jer pokazuje obje polovice odjednom. Protokol je radio točno kako je zamišljen: AI klijent otkrio je alat, pročitao njegov opis i pozvao ga. Model povjerenja bio je dio koji još nitko nije izgradio.

Što je MCP server

MCP server je program koji AI aplikacijama izlaže alate, podatke i promptove putem protokola Model Context Protocol (MCP). Službena dokumentacija definira MCP kao „standard otvorenog koda za povezivanje AI aplikacija s vanjskim sustavima“. AI klijent poput Claudea, ChatGPT-ja, Visual Studio Codea ili Cursora povezuje se sa serverom, pita što nudi i poziva te mogućnosti u ime korisnika.

Anthropic je najavio MCP 25. studenoga 2024. sa šest gotovih servera: Google Drive, Slack, GitHub, Git, Postgres i Puppeteer. OpenAI ga je prihvatio u ožujku 2025. Google DeepMind slijedio je u travnju. U prosincu 2025. Anthropic je protokol darovao zakladi Agentic AI Foundation, namjenskom fondu unutar Linux Foundationa koji su suosnovali Anthropic, Block i OpenAI.

Problem je množenje veza. Prije MCP-a svaka AI aplikacija koja želi GitHub pisala je svoj povezivač, a svaki dobavljač izrađivao vezu za svaku AI aplikaciju. Deset modela i deset alata moglo je značiti sto integracija. MCP to svodi na dvadeset: svaki klijent implementira protokol jednom, a svaki sustav izlaže jedan poslužitelj.

Zamislite ga kao brodski kontejner AI integracija. Prije kontejnera svaka je luka svaki teret ukrcavala ručno, vlastitim dizalicama i vlastitom posadom. Kontejner je standardizirao kutiju, pa je svaki brod, dizalica i kamion mogao prevesti bilo koji teret. Nije standardizirao što ide u kutiju i nikada nije pregledavao sadržaj. MCP je ista pogodba. Zapamtite drugu polovicu, vraća se u dijelu o sigurnosti.

Kako MCP server radi

Aktualna specifikacija, verzija 2026-07-28, koristi JSON-RPC 2.0 poruke između triju uloga. Njezin vlastiti opis dug je tri retka: domaćini su „LLM aplikacije koje pokreću veze“, klijenti su „konektori unutar aplikacije domaćina“, a serveri su „usluge koje pružaju kontekst i mogućnosti“.

Domaćin, klijent, server

Domaćin (host) je aplikacija u koju tipkate: Claude Desktop, IDE, vaš vlastiti agent. Unutar njega radi po jedan klijent za svaku vezu sa serverom. Server se nalazi na drugoj strani i razgovara sa stvarnim sustavom, bilo da je riječ o bazi podataka Postgres, GitHub API-ju ili mapi na vašem disku. Domaćin odlučuje što model vidi i što korisnik mora odobriti. Server odlučuje što će učiniti sustav iza njega.

1. Domaćin Claude Desktop · IDE · vaš vlastiti agent

   pokazuje modelu alate, traži pristanak korisnika

2. Klijent po jedan za svaku vezu sa serverom

   govori JSON-RPC preko stdio ili Streamable HTTP

3. MCP server alati · resursi · promptovi

   opisuje što nudi i izvršava pozive

4. Sustav u pozadini baza podataka · SaaS API · lokalne datoteke

   obavlja posao

Alati, resursi i promptovi

Server može nuditi tri vrste stvari:

• Alati (tools) su funkcije koje model može izvršiti: create_issue, query_orders, send_email. Svaki ima naziv, opis i JSON Schemu za svoje ulaze.
• Resursi (resources) su kontekst i podaci koje čita korisnik ili model: datoteka, shema baze podataka, zapis.
• Promptovi (prompts) su predlošci poruka i tijekova rada koje korisnik može odabrati, primjerice „sažmi ovaj pull request“.

Alati dobivaju najviše pažnje jer djeluju. Iz istog razloga nose i najveći dio rizika.

Poziv alata, korak po korak

Revizija 2026-07-28 učinila je MCP protokolom bez stanja. Rukovanja initialize više nema; svaki zahtjev nosi verziju protokola i mogućnosti klijenta u polju _meta, a serveri moraju implementirati metodu server/discover kako bi klijent unaprijed mogao pitati što podržavaju. Jedan poziv alata sada izgleda ovako:

1. Korisnik traži: otvori tiket za ovu grešku

2. Korak 1

   Otkrivanje

   • Klijent može pozvati server/discover radi verzija i mogućnosti
3. Korak 2

   Popis alata

   • tools/list vraća nazive, opise i sheme ulaza
4. Korak 3

   Model bira alat

   • Domaćin modelu predaje definicije alata
5. Korak 4

   Pristanak korisnika

   • Prema specifikaciji domaćin mora dobiti izričit pristanak prije pozivanja bilo kojeg alata
6. Korak 5

   Poziv

   • tools/call s argumentima, verzija protokola u _meta

7. Nedostaje ulaz? Server vraća input_required, klijent ponavlja poziv s odgovorima

   Korak 6

   Rezultat

8. Rezultat se vraća modelu kao kontekst

Korak 6 nov je u ovoj reviziji. Server kojemu treba više informacija više ne šalje vlastiti zahtjev natrag klijentu. Vraća rezultat označen s input_required, klijent prikuplja odgovor i ponavlja izvorni poziv. Specifikacija to naziva obrascem Multi Round-Trip Request.

Prijenosi: stdio i Streamable HTTP

Specifikacija definira dva standardna prijenosa:

• stdio: klijent pokreće server kao podproces i s njim razmjenjuje JSON-RPC poruke odvojene novim retkom preko standardnog ulaza i izlaza. Tako radi većina lokalnih servera, a to znači da server radi na vašem računalu s vašim ovlastima.
• Streamable HTTP: svaka poruka je HTTP POST na jednu krajnju točku, a odgovori se vraćaju kao JSON objekt ili kao tok događaja vezan uz zahtjev. Tako rade udaljeni, hostirani serveri.

Stariji prijenos HTTP+SSE službeno je zastario. Revizija 2026-07-28 uklonila je i sesije na razini protokola te zaglavlje Mcp-Session-Id; server kojemu treba stanje između poziva sada sam stvara vlastiti identifikator i dobiva ga natrag kao običan argument alata.

Autorizacija

Autorizacija je u MCP-u neobavezna i odnosi se samo na HTTP. Za stdio specifikacija kaže da bi serveri vjerodajnice trebali uzimati iz okruženja. Za HTTP zaštićeni MCP server djeluje kao OAuth 2.1 poslužitelj resursa. Mora objaviti OAuth Protected Resource Metadata (RFC 9728) kako bi klijenti pronašli njegov autorizacijski server. Klijenti moraju navesti točan server kojemu je token namijenjen (indikatori resursa prema RFC 8707). Serveri moraju odbiti svaki token koji nije izdan za njih, a sigurnosne smjernice „token passthrough“, odnosno prosljeđivanje klijentova tokena bez izmjene nekom API-ju dalje u lancu, izričito zabranjuju.

To posljednje pravilo važnije je nego što izgleda. Server koji prosljeđuje bilo koji token koji primi postaje proxy za svakoga tko ga drži.

Što donosi MCP UI: serveri koji vraćaju sučelje

Tekstualni odgovori prestaju funkcionirati onog trenutka kada korisnik mora usporediti četrdeset redaka, prilagoditi obrazac s dvanaest polja ili odobriti skup promjena jednu po jednu. „MCP UI“ je naziv pod kojim ljudi traže rješenje: server vraća interaktivno sučelje koje se prikazuje unutar AI klijenta, uz razgovor.

Status treba precizno opisati. Ideja je počela s MCP-UI-jem, projektom zajednice. OpenAI je izradio sličan mehanizam u Apps SDK-u. Projekt MCP predložio je zajednički standard s oba projekta 21. studenoga 2025., a 26. siječnja 2026. objavio MCP Apps kao prvo službeno proširenje MCP-a. Paketi MCP-UI-ja sada slijede standard i ostaju prostor za isprobavanje poboljšanja.

Dakle, MCP UI danas znači MCP Apps. Službeno je i riječ je o proširenju, ne o jezgri protokola. Proširenja su neobavezna: moraju ih podržavati i klijent i server, a dokumentacija otvoreno kaže da „podrška domaćina ovisi o klijentu“. Dokumentacija MCP Apps kao podržane domaćine navodi Claude, Claude Desktop, VS Code GitHub Copilot, Microsoft 365 Copilot, Goose, Postman, MCPJam i Archestra.AI. Server čiji alati vraćaju sučelje i dalje mora raditi za klijenta koji prikazuje samo tekst.

Mehanički, ponovno koristi vlastite dijelove MCP-a:

1. Opis alata uključuje _meta.ui.resourceUri koji pokazuje na resurs ui://.
2. Domaćin dohvaća taj resurs, HTML stranicu s njezinim skriptama, i može ga unaprijed učitati prije nego što se alat pozove.
3. Domaćin ga prikazuje u izoliranom iframeu (sandbox) koji ne može čitati nadređenu stranicu, njezine kolačiće ni pohranu.
4. Aplikacija i domaćin komuniciraju preko postMessage u JSON-RPC dijalektu MCP-a. Aplikacija može tražiti pozive alata, a domaćin odlučuje koje će dopustiti.

Trošak je stvaran. Sada isporučujete web sučelje unutar tuđe aplikacije, s pravilima sigurnosti sadržaja (CSP) koja morate deklarirati, s pravilima prikaza koja ne kontrolirate i s tekstualnom zamjenom za svakog domaćina koji ga ignorira. Dobitak je u tome što odobravanje prestaje biti transkript razgovora. Popis dobrih primjena u dokumentaciji završava s „odobravanje izvješća o troškovima, pregled promjena koda ili trijaža problema“, i to je pošteno središte cijele priče: MCP UI najbolji je za odluke, ne za ukras.

Tajo primjer samo za čitanje

Tajo sučelje Alto MCP uključuje query_contacts, alat koji pretražuje kontakte pohranjene u spojenom radnom prostoru. Pronađite jedan postojeći kontakt prema e-pošti i pogledajte ID, stanje pristanka za e-poštu i vrijeme posljednjeg opažanja. Poseban get_contact_topic_status čita njegove pretplate po temama.

To su čitanja iz radnog prostora. Ne dohvaćaju svjež prikaz od pružatelja, ne pokreću sinkronizaciju i ne šalju poruke. Ne dokazuju ni da su svi povezivači aktivni. Nedostajuće ili stare podatke istražite na izvoru. Prazan rezultat ne dokazuje da osoba ne postoji u Brevu.

U dokumentaciji Tajo MCP-a povežite podržani klijent i pregledajte alate koji su stvarno izloženi vašem ovlaštenom prostoru. Interaktivna ploča može olakšati pregled ako domaćin podržava MCP Apps. Tekstni rezultat ipak mora objasniti ishod.

Poziv alata nije trajna sinkronizacija

Ponavljajuća sinkronizacija treba i raspored, stabilan identitet zapisa, spremljeni napredak, odluke o ponavljanju i evidenciju dovršenih zapisa. Za to odgovara aplikacija koja izvodi posao. MCP standardizira pristup alatima; njihovo navođenje ne daje poslovna pravila.

Nakon isteka vremena čitanje se obično može ponoviti. Slanje ili plaćanje možda se već dogodilo. Sačuvajte zapis izvršavanja i utvrdite ishod prije novog pokušaja. Pouzdanje modela ne daje dopuštenje ni ne čini ponavljanje sigurnim.

Vodič za Brevo API opisuje odredišno zapisivanje za konkretan put kontakta. Vodič za reverse ETL objašnjava kada izračunana polja trebaju vlastitu održavanu sinkronizaciju.

Račun za sigurnost stiže zajedno s protokolom

Prigovor zaslužuje da ga se izreče u cijelosti: „MCP probabilističkom modelu daje popis funkcija koje mogu brisati podatke i slati e-poštu, a zatim vjeruje tekstu koji su napisali stranci da ih opiše. To nije standard za integraciju. To je napad na opskrbni lanac sa specifikacijom.“ Većina toga je točna. Specifikacija se slaže s premisom. Njezin sigurnosni dio kaže da alati „predstavljaju izvršavanje proizvoljnog koda i s njima treba postupati s odgovarajućim oprezom“, da bi se opisi alata „trebali smatrati nepouzdanima, osim ako nisu dobiveni od pouzdanog servera“, te da MCP „ne može nametnuti ova sigurnosna načela na razini protokola“.

Evo dosadašnjeg zapisnika:

• Trovanje alata (tool poisoning). Objava tvrtke Invariant Labs iz travnja 2025., gore opisani alat add. Ista objava opisala je rug pull, kada server promijeni opis alata nakon što ste ga odobrili, i shadowing, kada jedan zlonamjerni server prepisuje ponašanje modela prema drugom, pouzdanom serveru.
• Kompromitiranje lokalnih servera. U srpnju 2025. JFrog je objavio CVE-2025-6514 u mcp-remote, verzije od 0.0.5 do 0.1.15, koja je zlonamjernom serveru omogućavala pokretanje naredbi na korisnikovu računalu. Istog ljeta CVE-2025-49596 pogodila je Anthropicov vlastiti MCP Inspector, koji se prema zadanim postavkama isporučivao bez autentifikacije.
• Napuhavanje opsega. Službene najbolje sigurnosne prakse imenuju obrazac: tokeni s opsegom files:* ili admin:* dodijeljeni unaprijed jer je server naveo sve opsege, a klijent je zatražio sve.
• Službena zabrinutost. U svibnju 2026. američka Agencija za nacionalnu sigurnost (NSA) izjavila je da je „brzo širenje MCP-a preteklo razvoj njegova sigurnosnog modela“.

Prigovor griješi u zaključku. Rješenje nikada nije bilo prestati povezivati modele sa sustavima; timovi su to već radili sa sirovim API ključevima zalijepljenima u promptove i skripte, bez ikakvog revizijskog traga. Rješenje je MCP server tretirati kao bilo koju drugu privilegiranu ovisnost:

• Instalirajte servere samo iz izvora kojima biste iste vjerodajnice povjerili i izvan MCP-a.
• Dajte prednost udaljenim serverima s OAuth-om i uskim opsezima pred lokalnim binarnim datotekama s dugotrajnim ključevima.
• Za svaki upis tražite ljudsko odobrenje i bilježite tko je što odobrio.
• Zaključajte verzije servera i ponovno ih pregledajte kada se promijeni opis alata.
• Izlažite alate krojene prema zadacima, ne cijeli API; model ne može zloupotrijebiti krajnju točku za brisanje koja nikada nije bila izložena.

Protokol je standardizirao kutiju. Pregled tereta i dalje je vaš posao.

Izgraditi MCP server ili koristiti postojeći

Javni katalozi poput mcp.so prikupljaju servere koje je izgradila zajednica, a mnogi SaaS dobavljači objavljuju vlastite. Brevo, primjerice, nudi MCP server koji je podijeljen i na zasebne servere, pa agent može dobiti kontakte bez kampanja. Odluka se manje tiče truda, a više toga tko treba određivati oblik alata.

Koji bi MCP server vaš agent trebao koristiti?

1. Dobavljač objavljuje server koji pokriva zadatak

   Koristite server dobavljača

   Prati API, a održava ga dobavljač.

2. Jedan sustav, ali trebate manje radnji ili sigurnije radnje

   Koristite ga sa suženim opsegom

   Dodijelite minimalne opsege i izložite samo grupe alata koje agentu trebaju.

3. Interni podaci ili sustav bez servera

   Izgradite mali server

   Nekoliko alata krojenih prema zadacima iznad vašeg vlastitog API-ja, s vašom autentifikacijom.

4. Zadatak obuhvaća dva ili više sustava

   Izgradite ili usvojite upravljani sloj

   Jedan skup alata, pravila pristanka i revizijska povijest za sve njih.

Izgraditi osnovni server lakši je dio. Uz službeni SDK, funkcionalan stdio server s jednim alatom posao je za jedno poslijepodne. Trošak dolazi poslije: OAuth za HTTP inačicu, zastarijevanja (revizija 2026-07-28 proglasila je zastarjelima Roots, Sampling i Logging te Dynamic Client Registration) i stalni posao pisanja opisa alata koje model ispravno čita. Omatanje API-ja po načelu jedna krajnja točka, jedan alat najčešća je pogreška. Svaki opis alata tekst je koji model mora pročitati i odvagnuti, pa kratak popis alata krojenih prema zadacima pobjeđuje cijelu površinu API-ja.

MCP, API-ji, integracije i iPaaS

MCP ne zamjenjuje API-je. Gotovo svaki MCP server omotač je oko nekog API-ja. Posao se i dalje odvija u API-ju, s njegovim ograničenjima broja zahtjeva, podatkovnim modelom i osobitostima. MCP mijenja tko ga može pozvati: model, tijekom izvođenja, koji poziv bira na temelju opisa, umjesto programera koji ga unaprijed čvrsto upiše u kod.

Ta razlika povlači jasnu granicu prema dvjema drugim stvarima s kojima se MCP miješa:

• Integracije i iPaaS (glavne platforme uspoređujemo ovdje) premještaju podatke prema rasporedu ili na okidač, deterministički, bez obzira na to je li netko u razgovoru. Noćna sinkronizacija 40 000 narudžbi u CRM ne bi smjela ovisiti o tome hoće li model odlučiti napraviti 40 000 poziva alata.
• Reverse ETL gura modelirane podatke iz skladišta podataka natrag u operativne alate. Što je reverse ETL i kada odgovara zasebna je tema, i to je cjevovod, a ne razgovor.
• MCP je za trenutke kada osoba ili agent treba pitati, pregledati ili djelovati u tim sustavima, na zahtjev.

Pogreška ide u oba smjera. Jedni timovi grade MCP servere za masovnu sinkronizaciju i dobivaju spore, skupe i neponovljive cjevovode. Drugi timovi grade pažljive integracije, a zatim svom AI asistentu daju sirovi API ključ da ih pretražuje, i dobivaju neupravljana stražnja vrata.

Za podržanu integraciju trajni posao i alati za njegov pregled trebaju dijeliti jasnu granicu dopuštenja. Provjerite povezivač, dopuštene radnje i zabilježene ishode za konkretan tijek. Dokumentacija integracija razlikuje upute za postavljanje od puteva kojima još treba dokaz iz produkcije. MCP može izložiti odvojene odobrene alate; popis ne dokazuje aktivnu ponavljajuću sinkronizaciju ni sve potrebne kontrole.

U 22 mjeseca MCP je od šest referentnih servera došao do projekta Linux Foundationa koji govore Claude, ChatGPT, VS Code i Cursor. Povezati model sa sustavom danas je jeftin dio. Odlučiti što tamo smije raditi, to je pravi posao.