O que é MCP (Model Context Protocol) e como os agentes de IA usam as ferramentas da empresa
O padrão que liga agentes de IA a apps como Linear, Sentry e Notion, explicado sem jargão: como funciona, quem mantém e onde mora o risco.
· Fontes
Resposta curta
MCP (Model Context Protocol) é um padrão aberto que liga apps de IA a ferramentas e dados. O app de IA é o cliente; cada serviço, como Sentry ou Notion, oferece um servidor MCP com uma lista de ferramentas. O agente lê essa lista, escolhe a ferramenta certa e a usa com as permissões que você deu.
O que é MCP?
MCP é a sigla de Model Context Protocol, ou protocolo de contexto de modelo. É um padrão aberto, lançado pela Anthropic em novembro de 2024, para criar conexões seguras e de mão dupla entre apps de IA e as fontes de dados e ferramentas que eles usam[1].
Antes do MCP, cada app de IA precisava de uma integração própria para cada serviço. Dez apps e vinte serviços davam duzentas integrações, cada uma com seu jeito de pedir login e de descrever o que faz. Com um padrão, o serviço publica um servidor MCP uma vez, e qualquer app que fala MCP consegue usá-lo.
Na prática, é o MCP que deixa um agente de IA sair da conversa e trabalhar nos apps da empresa: ler um erro no Sentry, abrir uma tarefa no Linear, consultar uma página no Notion. O modelo é o mesmo. A diferença é que agora ele tem ferramentas.
Como o MCP funciona?
O MCP tem três participantes[3]:
- Host: o app de IA que a pessoa usa, como um editor de código, o Claude ou um chat de equipe.
- Cliente MCP: a parte do host que mantém a conexão com um servidor. O host cria um cliente para cada servidor.
- Servidor MCP: o programa que oferece as ferramentas e os dados de um serviço.
Um servidor pode oferecer três coisas: ferramentas, que são ações que o modelo pode executar (consultar um banco, chamar uma API); recursos, que são dados de contexto (o conteúdo de um arquivo, um registro); e prompts, que são modelos de instrução prontos[3].
O caminho de uma tarefa é sempre parecido:
- O cliente pergunta ao servidor quais ferramentas existem. Cada uma vem com nome, descrição e os campos que aceita.
- O modelo lê o pedido da pessoa e escolhe a ferramenta que serve.
- O cliente chama a ferramenta com os valores escolhidos.
- O servidor executa e devolve o resultado, que volta para o modelo como contexto.
- O modelo decide se terminou ou se precisa de outra ferramenta.
Por baixo, as mensagens seguem o formato JSON-RPC 2.0[3]. Quem usa não precisa saber disso. Quem cria um servidor, sim.
O que é um servidor MCP, e qual a diferença entre local e remoto?
Um servidor MCP é o programa que traduz um serviço para a língua do protocolo. Ele pode rodar em dois lugares[3]:
| Tipo | Onde roda | Como conversa | Exemplo |
|---|---|---|---|
| Local | Na mesma máquina do app de IA | Entrada e saída padrão (stdio) | Um servidor que lê arquivos do seu computador |
| Remoto | Na infraestrutura do fornecedor | HTTP (Streamable HTTP), com login por OAuth | O servidor oficial do Sentry, que roda na plataforma do Sentry |
Para uma empresa, o servidor remoto oficial costuma ser o melhor caminho. Quem cuida dele é o próprio fornecedor, ninguém do time precisa instalar nada, e o login usa a tela de permissão do serviço. Servidores feitos pela comunidade existem para quase tudo, mas cada um precisa ser avaliado antes de receber acesso aos dados da empresa.
Quem mantém o protocolo MCP?
Desde dezembro de 2025, o MCP faz parte da Agentic AI Foundation (AAIF), criada dentro da Linux Foundation. A Anthropic doou o MCP; a Block contribuiu com o goose, e a OpenAI, com o AGENTS.md[2]. No anúncio, a Linux Foundation contou mais de 10 mil servidores MCP publicados[2].
A especificação sai em versões com data. A mais recente, de 28 de julho de 2026, define como funcionam as ferramentas, o login e as regras de segurança[4][5]. Ter um dono neutro importa para quem compra: um padrão que não depende de um só fornecedor tem menos chance de mudar de rumo de repente.
O que são conectores MCP no Claude e no ChatGPT?
“Conector” é o nome que muitos apps dão a um servidor MCP já ligado. No Claude, os conectores personalizados por MCP remoto existem nos planos Free, Pro, Max, Team e Enterprise; no plano Team, só os donos da conta podem adicioná-los[6]. No ChatGPT, um servidor MCP personalizado entra pela área de plugins, com OAuth, e as ações de escrita pedem confirmação por padrão[7].
Nos dois casos, o conector serve a uma pessoa conversando com um assistente. Num time com vários agentes, a pergunta muda: quem liga o serviço, quais agentes podem usar cada ferramenta e quem aprova o que é sensível. É disso que tratam as próximas seções.
Como funciona o login em um clique num servidor MCP?
Servidores remotos usam OAuth, o mesmo login de “Entrar com…” que você já conhece. A especificação define o caminho: o servidor responde que precisa de login e diz onde fica o servidor de autorização; o app lê os dados públicos desse servidor e se registra como cliente[5].
O registro é o ponto que decide se o login é mesmo de um clique. A especificação aceita três formas[5]:
- Documento de metadados do cliente (CIMD): o app se identifica por um endereço com seus dados. É a forma que a versão de 2026 da especificação recomenda.
- Registro dinâmico (DCR): o app se registra sozinho, na hora. Hoje é a forma mais comum, mas a especificação de 2026 a marca como obsoleta e a mantém por compatibilidade.
- Registro prévio: alguém cria um app no painel do fornecedor e copia um ID e um segredo. Aqui não há um clique.
Em todos os casos, o app precisa usar PKCE com o método S256 sempre que puder, uma proteção contra roubo do código de login[8].
Nem todo fornecedor abre a porta. Alguns exigem um app registrado com eles; outros publicam o registro dinâmico, mas só aceitam clientes que aprovaram. Nós conferimos servidor por servidor, com data e método, em quais servidores MCP oficiais conectam com um clique.
Como os agentes do agentes.chat usam MCP?
No agentes.chat, pessoas e agentes de IA trabalham no mesmo chat, e as ferramentas seguem a lógica de uma empresa, não de uma pessoa só. São duas camadas:
- O workspace liga o serviço uma vez, por OAuth ou por chave. Os tokens ficam cifrados e nunca voltam para o navegador nem para os apps.
- Cada agente recebe só uma parte. Por conector, o acesso é Sem acesso, Leitura ou Leitura e escrita, ou você escolhe ferramenta por ferramenta. “Todas as ferramentas” nunca inclui rodar código.
O catálogo tem 58 atalhos de um clique, para os servidores remotos oficiais de 56 fornecedores. Entre eles: Linear, Sentry, Notion, Atlassian (Jira e Confluence), Asana, Stripe, Cloudflare, Supabase, GitLab, Datadog, Intercom, monday.com e Mercado Pago. Também dá para ligar:
- o GitHub, pelo app do agentes.chat no GitHub ou por OAuth, com os repositórios escolhidos por agente;
- qualquer servidor MCP pelo endereço, que aparece com o próprio logo;
- o Google Drive, informando o endereço de um servidor MCP do Drive (não é de um clique).
Alguns serviços ainda não entram, porque o fornecedor exige um app registrado ou só aceita clientes aprovados: Slack, HubSpot, Vercel, Zendesk, Box, Render, PagerDuty, Front, Pipedrive, Shopify, Microsoft 365 e Figma. Também não há conectores de Google Agenda, Docs ou Planilhas.
Exemplo · Acme (empresa fictícia)
O Sentry e o Linear na Acme
Um administrador da Acme liga o Sentry e o Linear ao workspace, com o login de cada serviço. O agente de infraestrutura recebe Leitura no Sentry e Leitura e escrita no Linear. O agente de suporte recebe só Leitura no Linear.
Quando alguém pede no canal para olhar um erro novo, o agente de infraestrutura lê o evento no Sentry e cria a tarefa no Linear sem pedir aprovação: é uma escrita comum, que ele recebeu. Se o mesmo trabalho rodasse numa rotina, sem ninguém olhando, a criação da tarefa esperaria uma pessoa. O agente de suporte consegue ver a tarefa, mas não consegue mudá-la.
O que um agente pode fazer sozinho num conector MCP?
Quando um servidor é ligado, o agentes.chat classifica cada ferramenta, e um administrador confirma a classificação:
| Ferramenta | Exemplo | O que acontece |
|---|---|---|
| Leitura | Listar tarefas, ler um erro, buscar uma página | Roda livre, sem pedir |
| Escrita comum | Criar ou atualizar uma tarefa, adicionar um comentário | Roda sem pedir, depois que o acesso foi dado |
| Sensível | Nomes que começam com verbos como delete, remove, send, pay, publish, transfer, refund, share, drop ou purge | Só pode pedir aprovação ou ficar desligada |
| Marcada como destrutiva pelo servidor | Uma ferramenta com o aviso de ação destrutiva | Pede aprovação |
| Ambígua | Um nome que não diz o que faz | Um modelo sugere o nível; se falhar, a ferramenta pede |
Acima de tudo isso, há uma regra fixa: qualquer ferramenta com merge, deploy, rollback, revert_deploy ou promote no nome ou no escopo sempre pede aprovação, diga o que disser o servidor. No GitHub, o merge de um PR e a execução de um workflow também pedem.
O pedido aparece no chat como um card com a ação e os valores exatos. Ele vale por 24 horas e roda uma vez, exatamente como foi aprovado. Rotinas que rodam sem ninguém olhando vão além: toda escrita num app conectado pede uma pessoa. O guia de governança de agentes de IA traz a lista completa.
Como criar um servidor MCP?
Se o serviço que você usa não tem servidor, ou se o servidor é interno, dá para criar um. O caminho mais curto:
- Escolha poucas ferramentas. Comece pelas leituras que o time mais pede. Dê nomes claros, como listar_pedidos, e descrições que digam quando usar cada uma.
- Use um SDK oficial. O projeto MCP mantém SDKs em várias linguagens e servidores de referência para copiar[3].
- Teste com o MCP Inspector, a ferramenta oficial para ver e chamar as ferramentas de um servidor[3].
- Publique como servidor remoto, com HTTP e login por OAuth, seguindo a parte de autorização da especificação[5].
- Marque o que é leitura e o que é destrutivo. As anotações ajudam, mas a especificação manda o cliente tratá-las como não confiáveis quando o servidor não é confiável[4]. Não conte só com elas para proteger dados.
Com o servidor no ar, você o adiciona ao agentes.chat pelo endereço, como qualquer outro, e ele passa pela mesma classificação.
Quais são os riscos do MCP?
O MCP dá ao modelo o poder de agir, e o risco vem junto. Os principais:
- Acesso demais. Um token com todas as permissões, para uma tarefa que só precisava ler.
- Texto com instruções escondidas. O resultado de uma ferramenta pode trazer um texto escrito para enganar o modelo. A especificação pede que o cliente valide os resultados antes de passá-los ao modelo[4]. No agentes.chat, todo texto de fora, incluindo respostas de servidores MCP, chega ao modelo marcado como não confiável.
- Ação sem ninguém olhando. A especificação recomenda que sempre haja uma pessoa capaz de negar uma chamada de ferramenta, com confirmação para operações sensíveis[4].
- Token roubado. Quem obtém um token guardado pode usá-lo como se fosse o app. Por isso a especificação exige guardar tokens com segurança e recomenda tokens de vida curta[8].
- Servidor falso. Confira o endereço na documentação do próprio fornecedor antes de ligar.
A defesa é a mesma em todo lugar: cada agente com o menor acesso que resolve, ações sensíveis esperando uma pessoa e um registro do que cada agente fez. O agentes.chat já vem com essas regras, e você só ajusta. Ele está em acesso antecipado, só por convite. Se você quer ligar as ferramentas do seu time aos agentes desse jeito, entre na lista de espera.
Perguntas frequentes
MCP é só para o Claude?
Não. A Anthropic criou o MCP, mas ele é um padrão aberto, mantido desde dezembro de 2025 pela Agentic AI Foundation, na Linux Foundation. O ChatGPT, editores de código e outros apps também usam servidores MCP.
Qual a diferença entre MCP e API?
A API é a porta de um serviço, cada uma com seu formato. O MCP é um jeito padrão de descrever ferramentas para modelos de IA. Muitos servidores MCP chamam a API do serviço por baixo e a apresentam num formato que qualquer app de IA entende.
Preciso saber programar para usar MCP?
Para usar um servidor pronto, não. Num app que tem catálogo, você escolhe o serviço, faz o login e decide o acesso de cada agente. Programar só é preciso para criar um servidor novo.
O agente consegue fazer qualquer coisa no app conectado?
Só o que você liberar. No agentes.chat, cada agente recebe Sem acesso, Leitura ou Leitura e escrita por conector, ou ferramenta por ferramenta. Ações sensíveis pedem aprovação ou ficam desligadas.
Por que alguns serviços não conectam com um clique?
Porque o fornecedor exige um app registrado com ele ou só aceita clientes que aprovou. HubSpot, Slack e Figma são exemplos. Nossa checagem servidor por servidor está na página sobre servidores MCP com login em um clique.
Fontes
Links conferidos em 29 de outubro de 2026. O que esta página diz do agentes.chat descreve o produto nessa data e pode mudar durante o acesso antecipado.
- 1Anthropic, Introducing the Model Context Protocol, 25 de novembro de 2024.
- 2Linux Foundation, Linux Foundation Announces the Formation of the Agentic AI Foundation (AAIF), Anchored by New Project Contributions Including Model Context Protocol (MCP), goose and AGENTS.md, 9 de dezembro de 2025.
- 3Model Context Protocol, Architecture overview.
- 4Model Context Protocol, Specification: Tools (2026-07-28), 28 de julho de 2026.
- 5Model Context Protocol, Specification: Authorization (2026-07-28), 28 de julho de 2026.
- 6Anthropic, Get started with custom connectors using remote MCP.
- 7OpenAI, Add custom MCP server.
- 8Model Context Protocol, Specification: Authorization Security Considerations (2026-07-28), 28 de julho de 2026.