MCP : le protocole qui branche l'IA sur vos données

Le MCP, c'est quoi exactement ?

Le Model Context Protocol, abrégé en MCP, est un protocole ouvert qui standardise la façon dont une application d'intelligence artificielle se connecte à des sources de données et à des outils externes. Concrètement, il définit un langage commun pour qu'un modèle puisse lire un fichier, interroger une base de données, créer un ticket ou consulter un agenda, sans que l'éditeur du modèle ait à écrire un connecteur spécifique pour chaque logiciel.

La documentation officielle emploie une image devenue courante : MCP serait l'« USB-C de l'IA ». Avant l'USB-C, chaque appareil avait son câble. Après, une seule prise suffit. Le principe est identique ici : un outil publié une fois au format MCP devient utilisable par n'importe quelle application compatible.

Le protocole a été créé chez Anthropic par David Soria Parra et Justin Spahr-Summers, et annoncé publiquement le 25 novembre 2024. Il s'inspire directement du Language Server Protocol (LSP), une norme que les éditeurs de code utilisent depuis des années pour faire dialoguer un éditeur de texte avec un analyseur de langage.

• Le problème résolu : sans standard, connecter 10 modèles à 10 outils demande 100 intégrations. Avec un standard, il en faut 20.
• Le format technique : des messages JSON-RPC 2.0, un format d'échange léger et lisible, utilisé depuis des années hors du champ de l'IA.
• Le statut : protocole ouvert, dont la spécification est publique et versionnée par date.

Pourquoi ses concurrents l'ont adopté en quelques mois

MCP s'est imposé parce que ses concurrents directs l'ont repris, ce qui est rare dans l'industrie de l'IA. OpenAI a annoncé son adoption le 25 mars 2025, soit quatre mois après l'annonce initiale. Google a suivi le 9 avril 2025, et Microsoft a intégré le protocole à Azure OpenAI et à Semantic Kernel le 1er mai 2025.

La bascule décisive date du 9 décembre 2025 : Anthropic a transféré la gouvernance du protocole à l'Agentic AI Foundation, un fonds dirigé placé sous l'égide de la Linux Foundation, cofondé avec Block et OpenAI. Un standard porté par une fondation neutre rassure davantage un directeur informatique qu'un standard contrôlé par un seul éditeur.

Depuis, les intégrations se sont enchaînées : les « apps » de ChatGPT en septembre 2025, l'extension MCP Apps pour afficher des interfaces interactives en janvier 2026, l'hébergement de serveurs MCP chez Cloudflare en avril 2026. La même année, Salesforce a annoncé avoir traité 4,5 millions d'appels MCP depuis le lancement de son offre, un chiffre communiqué par l'éditeur lui-même et non vérifié par un tiers indépendant.

COMPRENDRE LES LLM · NOVEMBRE 2026

MCP : deux ans pour devenir un standard de fait

• 25.11.2024 annonce du protocole par Anthropic
• 10 000+ serveurs MCP en production, mi-2026
• 97 M téléchargements de SDK par mois
• 5 versions de spécification publiées depuis 2024

Ce que MCP standardise

• Découverte des outils
• Appel d'outils
• Lecture de ressources
• Modèles de prompts
• Autorisation OAuth 2.1

Ce qu'il ne fait pas

• Remplacer le function calling
• Sécuriser vos données à votre place
• Garantir une citation dans les IA
• Rendre un agent fiable

À retenir : MCP résout un problème de plomberie, pas un problème de visibilité. Il décide de ce qu'une IA peut aller chercher dans vos systèmes, jamais de ce qu'elle citera dans ses réponses publiques.

Télécharger l'infographie (PNG)

Comment MCP fonctionne : hôte, client, serveur

MCP repose sur trois rôles. L'hôte est l'application d'IA que vous utilisez, par exemple un assistant de bureau ou un éditeur de code. Le client est créé par l'hôte et entretient une relation exclusive, un pour un, avec un serveur. Le serveur, lui, expose ce que l'outil sait faire.

Le serveur publie trois types de choses, que la spécification appelle des primitives : les tools (des fonctions exécutables, comme « créer une facture »), les resources (des données lisibles, comme un fichier ou une ligne de base), et les prompts (des modèles de messages prêts à l'emploi).

Côté client, trois primitives existent aussi : le sampling (le serveur demande une réponse au modèle de l'hôte), l'elicitation (le serveur demande une information à l'utilisateur, par exemple une confirmation), et les roots (le client indique au serveur quels emplacements de fichiers sont pertinents). Deux transports sont prévus : stdio pour un serveur qui tourne sur votre machine, et un transport HTTP pour un serveur distant.

MCP, function calling et agent IA : ne confondez pas les trois

Ces trois notions décrivent trois étages différents, et les confondre mène à de mauvaises décisions techniques. Le function calling décrit comment un LLM demande l'appel d'un outil : c'est le mécanisme interne au modèle, qui produit une requête structurée au lieu d'une phrase.

MCP se situe un cran plus haut : il standardise la découverte et l'exécution de ces outils entre deux logiciels différents. Le modèle demande toujours l'appel de la même façon, mais le catalogue d'outils disponibles, leur description et leur mode d'authentification suivent désormais une norme commune.

L'agent IA occupe le troisième étage : c'est la boucle qui enchaîne plusieurs appels, évalue les résultats et décide de la suite. Un agent peut parfaitement fonctionner sans MCP, et un serveur MCP peut parfaitement servir un simple assistant qui ne fait aucune boucle.

Trois questions pour savoir ce dont vous avez besoin

• Un seul outil, un seul modèle : le function calling natif de l'éditeur suffit, MCP ajoute surtout de la complexité.
• Plusieurs modèles, plusieurs outils : MCP devient rentable, parce qu'il supprime la multiplication des connecteurs sur mesure.
• Un enchaînement autonome de tâches : vous avez besoin d'un agent, et MCP n'est alors que sa boîte à outils.

Où en est l'adoption en novembre 2026 ?

L'écosystème est large mais mal mesuré. The Register faisait état, en juillet 2026, de plus de 10 000 serveurs MCP déployés en production, et d'environ 97 millions de téléchargements de SDK par mois. Ces chiffres circulent beaucoup, mais aucun audit indépendant ne les confirme et la méthode de comptage n'est pas publiée : traitez-les comme un ordre de grandeur, pas comme une mesure.

La spécification, elle, a connu cinq étapes documentées. La version 2025-03-26 a introduit l'autorisation OAuth 2.1. La version 2025-06-18 a séparé le serveur de ressources et ajouté les Resource Indicators (RFC 8707). La version 2025-11-25 a apporté le Cross App Access et les tâches asynchrones. La révision 2026-07-28 a rendu le protocole sans état, ce qui simplifie la montée en charge mais casse une partie de la rétrocompatibilité.

Du côté des événements, le MCP Dev Summit Amérique du Nord a réuni environ 1 200 participants à New York en avril 2026. Chez Digital-m, nous voyons surtout l'effet indirect de cette adoption : nos clients nous demandent de plus en plus souvent si leur CRM ou leur ERP « parle MCP », avant même de savoir à quoi ils veulent le brancher.

La sécurité, le vrai point faible de MCP

MCP a un défaut structurel : un serveur décrit lui-même ce que fait chaque outil, et le modèle fait confiance à cette description. C'est la porte ouverte au tool poisoning, une attaque documentée par Invariant Labs dès avril 2025 : des instructions malveillantes sont cachées dans la description d'un outil, invisibles pour l'utilisateur, parfaitement lisibles par le modèle.

Des failles bien réelles ont suivi. CVE-2025-6514, publiée par JFrog le 9 juillet 2025, touchait le paquet mcp-remote avec un score CVSS de 9,6 sur 10 : un serveur malveillant pouvait exécuter des commandes sur la machine de l'utilisateur. Les versions 0.0.5 à 0.1.15 étaient concernées, le correctif est arrivé en 0.1.16. Une seconde faille, CVE-2025-49596, visait l'outil MCP Inspector, qui ne demandait aucune authentification par défaut.

En mai 2026, un rapport de la NSA a formulé le constat le plus direct : la diffusion de MCP a été plus rapide que la maturation de son modèle de sécurité. La spécification impose désormais plusieurs garde-fous explicites.

• Descriptions non fiables : l'hôte doit considérer toute description d'outil venant d'un serveur comme potentiellement hostile.
• Consentement explicite : l'utilisateur doit approuver chaque invocation d'outil, et non donner un blanc-seing initial.
• OAuth 2.1 obligatoire : pour les transports HTTP, avec interdiction du « token passthrough », c'est-à-dire le fait de transmettre tel quel un jeton d'accès à un tiers.
• Vigilance sur les proxys : un serveur qui en relaie un autre crée un risque de « confused deputy », où une autorisation légitime sert à une action illégitime.

Ces risques recoupent largement ceux de l'injection de prompt, que nous avons détaillée ailleurs. La différence, c'est que MCP multiplie les points d'entrée : chaque serveur installé est une surface d'attaque supplémentaire.

Ce que MCP change pour votre entreprise et votre visibilité

MCP ne modifie pas directement votre référencement : il ne décide pas de ce qu'un moteur génératif cite dans ses réponses. Son effet est interne. Il détermine ce qu'un assistant peut aller chercher dans vos propres systèmes, et donc la qualité des réponses qu'il vous donne à vous, pas celles qu'il donne au public.

Pour une PME, l'intérêt pratique est double. D'abord la portabilité : un connecteur MCP branché sur votre logiciel de devis fonctionnera demain avec un autre modèle, sans redéveloppement. Ensuite la négociation : un éditeur qui expose une interface MCP vous enferme moins qu'un éditeur qui impose son propre plugin.

Chez Digital-m, nous auditons régulièrement des sites dont les équipes ont branché cinq ou six serveurs MCP sur leur assistant interne sans avoir fait le tri. Le résultat est systématiquement le même : des temps de réponse qui s'allongent, une facture de tokens qui gonfle parce que chaque description d'outil occupe du contexte, et un périmètre d'accès que personne ne sait plus décrire. Trois serveurs bien choisis valent mieux que dix installés par curiosité.

Quatre réflexes avant de brancher un serveur MCP

• Vérifiez l'éditeur : un serveur MCP s'exécute avec vos droits. Privilégiez ceux publiés par l'éditeur du logiciel concerné.
• Limitez le périmètre : donnez un accès en lecture seule tant qu'une écriture n'est pas strictement nécessaire.
• Tracez les appels : conservez un journal de ce que l'assistant a lu et écrit, c'est votre seule preuve en cas d'incident.
• Mettez à jour : les deux CVE connues ont été corrigées en quelques jours, mais seulement pour ceux qui avaient mis à jour.

Ce qu'il faut retenir

Le MCP est devenu, en deux ans, la norme de connexion entre les modèles de langage et le reste de votre système d'information. Créé par Anthropic le 25 novembre 2024, adopté par OpenAI, Google et Microsoft dès le premier semestre 2025, confié à la Linux Foundation en décembre 2025, il bénéficie d'une neutralité de gouvernance que peu de standards de l'IA peuvent revendiquer.

Trois idées à garder en tête. MCP n'est pas du function calling, c'est l'étage au-dessus. Son adoption est large mais ses chiffres sont mal mesurés. Et sa sécurité reste son maillon faible : descriptions d'outils non fiables, deux CVE sérieuses en 2025, un rapport de la NSA en mai 2026. Le protocole n'est pas dangereux en soi, il transfère simplement la responsabilité du tri à celui qui installe les serveurs.

Vous hésitez entre brancher un assistant sur vos outils internes et travailler d'abord votre visibilité dans les moteurs génératifs ? Ce sont deux chantiers distincts, et le second se pilote avec d'autres leviers. Nos équipes réalisent un audit GEO complet pour situer votre marque dans les réponses de ChatGPT, Gemini, Perplexity et Mistral, et notre formation GEO certifiée Qualiopi permet à vos équipes de prendre ces sujets en main. Parlons de votre projet.