Čo je MCP server? Ako fungujú MCP a MCP UI v roku 2026

Dňa 1. apríla 2025 zverejnilo Invariant Labs nástroj s názvom add. Vzal dve čísla a vrátil ich súčet. Jeho popis však obsahoval aj blok označený IMPORTANT, v rozhraní klienta neviditeľný, ktorý modelu prikazoval prečítať ~/.cursor/mcp.json a ~/.ssh/id_rsa a oba súbory poslať von cez nevyužitý parameter. Model poslúchol. Používateľ videl sčítanie.

Táto ukážka je najlepší úvod do MCP serverov, aký poznám, pretože ukazuje obe polovice naraz. Protokol fungoval presne tak, ako bol navrhnutý: AI klient našiel nástroj, prečítal jeho popis a zavolal ho. Model dôvery bol tá časť, ktorú ešte nikto nepostavil.

Čo je MCP server

MCP server je program, ktorý sprístupňuje nástroje, dáta a prompty AI aplikáciám cez Model Context Protocol (MCP). Oficiálna dokumentácia definuje MCP ako „open-source štandard na prepojenie AI aplikácií s externými systémami“. AI klient ako Claude, ChatGPT, Visual Studio Code alebo Cursor sa pripojí k serveru, opýta sa, čo ponúka, a volá tieto schopnosti v mene používateľa.

Anthropic ohlásil MCP 25. novembra 2024 so šiestimi hotovými servermi: Google Drive, Slack, GitHub, Git, Postgres a Puppeteer. OpenAI ho prijalo v marci 2025. Google DeepMind nasledoval v apríli. V decembri 2025 Anthropic daroval protokol nadácii Agentic AI Foundation, riadenému fondu pod Linux Foundation, ktorý spoluzaložili Anthropic, Block a OpenAI.

Problémom je násobenie prepojení. Pred MCP si každá aplikácia AI využívajúca GitHub písala vlastný konektor a každý dodávateľ budoval spojenie pre každú aplikáciu AI. Desať modelov a desať nástrojov mohlo znamenať sto integrácií. MCP z toho robí dvadsať: klient implementuje protokol raz a systém poskytne jeden server.

Predstavte si ho ako prepravný kontajner AI integrácií. Pred kontajnermi každý prístav nakladal každý náklad ručne, vlastnými žeriavmi a vlastnou posádkou. Kontajner štandardizoval škatuľu, takže akákoľvek loď, žeriav a kamión mohli prevážať akýkoľvek náklad. Neštandardizoval však to, čo je vnútri, a obsah nikdy nekontroloval. MCP je rovnaký obchod. Zapamätajte si tú druhú polovicu, vráti sa v časti o bezpečnosti.

Ako funguje MCP server

Aktuálna špecifikácia, verzia 2026-07-28, používa správy JSON-RPC 2.0 medzi tromi rolami. Jej vlastný opis má tri riadky: hostitelia sú „LLM aplikácie, ktoré iniciujú spojenia“, klienti sú „konektory v rámci hostiteľskej aplikácie“ a servery sú „služby, ktoré poskytujú kontext a schopnosti“.

Hostiteľ, klient, server

Hostiteľ je aplikácia, do ktorej píšete: Claude Desktop, IDE, Váš vlastný agent. V nej beží jeden klient na každé spojenie so serverom. Server stojí na druhej strane a komunikuje so skutočným systémom, či už je to databáza Postgres, GitHub API alebo priečinok na Vašom disku. Hostiteľ rozhoduje, čo model uvidí a čo musí používateľ schváliť. Server rozhoduje, čo urobí podkladový systém.

1. Hostiteľ Claude Desktop · IDE · Váš vlastný agent

   ukazuje modelu nástroje, pýta si súhlas používateľa

2. Klient jeden na každé spojenie so serverom

   hovorí JSON-RPC cez stdio alebo Streamable HTTP

3. MCP server nástroje · zdroje · prompty

   opisuje, čo ponúka, a vykonáva volania

4. Podkladový systém databáza · SaaS API · lokálne súbory

   robí samotnú prácu

Nástroje, zdroje a prompty

Server môže ponúkať tri druhy vecí:

• Nástroje (tools) sú funkcie, ktoré model môže vykonať: create_issue, query_orders, send_email. Každý má názov, popis a JSON Schema pre svoje vstupy.
• Zdroje (resources) sú kontext a dáta, ktoré si používateľ alebo model prečíta: súbor, schéma databázy, záznam.
• Prompty sú šablónové správy a postupy, ktoré si používateľ vyberie, napríklad „zhrň tento pull request“.

Nástroje dostávajú najviac pozornosti, pretože konajú. Presne preto nesú aj najväčšie riziko.

Volanie nástroja krok za krokom

Revízia 2026-07-28 urobila MCP bezstavovým. Už neexistuje handshake initialize. Každá požiadavka nesie verziu protokolu a schopnosti klienta v poli _meta a servery musia implementovať metódu server/discover, aby sa klient mohol vopred opýtať, čo podporujú. Jedno volanie nástroja dnes prebieha takto:

1. Používateľ žiada: vytvor tiket pre túto chybu

2. Krok 1

   Zistenie

   • Klient môže zavolať server/discover kvôli verziám a schopnostiam
3. Krok 2

   Zoznam nástrojov

   • tools/list vráti názvy, popisy a schémy vstupov
4. Krok 3

   Model vyberie nástroj

   • Hostiteľ odovzdá definície nástrojov modelu
5. Krok 4

   Súhlas používateľa

   • Podľa špecifikácie musí hostiteľ pred zavolaním nástroja získať výslovný súhlas
6. Krok 5

   Volanie

   • tools/call s argumentmi, verzia protokolu v _meta

7. Chýba vstup? Server vráti input_required, klient to skúsi znova s odpoveďami

   Krok 6

   Výsledok

8. Výsledok sa vráti modelu ako kontext

Krok 6 je v tejto revízii nový. Server, ktorý potrebuje viac informácií, už neposiela klientovi vlastnú požiadavku. Vráti výsledok označený input_required, klient zozbiera odpoveď a pôvodné volanie zopakuje. Špecifikácia to nazýva vzor Multi Round-Trip Request.

Transporty: stdio a Streamable HTTP

Špecifikácia definuje dva štandardné transporty:

• stdio: klient spustí server ako podproces a vymieňa si s ním JSON-RPC oddelené novými riadkami cez štandardný vstup a výstup. Takto beží väčšina lokálnych serverov, a to znamená, že server beží na Vašom počítači s Vašimi oprávneniami.
• Streamable HTTP: každá správa je HTTP POST na jeden endpoint a odpovede prichádzajú ako objekt JSON alebo ako prúd udalostí viazaný na požiadavku. Takto bežia vzdialené, hostované servery.

Starší transport HTTP+SSE je formálne zastaraný. Revízia 2026-07-28 tiež odstránila relácie na úrovni protokolu aj hlavičku Mcp-Session-Id. Server, ktorý potrebuje stav medzi volaniami, si dnes vytvorí vlastný identifikátor a dostane ho späť ako bežný argument nástroja.

Autorizácia

Autorizácia je v MCP voliteľná a týka sa len HTTP. Pri stdio špecifikácia hovorí, že servery majú brať prihlasovacie údaje z prostredia. Pri HTTP sa chránený MCP server správa ako resource server podľa OAuth 2.1. Musí publikovať OAuth Protected Resource Metadata (RFC 9728), aby klienti našli jeho autorizačný server. Klienti musia uviesť presný server, pre ktorý je token určený (resource indicators podľa RFC 8707). Servery musia odmietnuť každý token, ktorý nebol vydaný pre ne, a bezpečnostné odporúčania výslovne zakazujú takzvaný „token passthrough“, teda posielanie tokenu klienta bez zmeny do ďalšieho API.

Toto posledné pravidlo je dôležitejšie, než sa zdá. Server, ktorý prepošle akýkoľvek token, ktorý dostane, sa stane proxy pre každého, kto nejaký token drží.

Čo pridáva MCP UI: servery, ktoré vracajú rozhranie

Textové odpovede prestanú fungovať vo chvíli, keď používateľ potrebuje porovnať štyridsať riadkov, upraviť formulár s dvanástimi poľami alebo schvaľovať dávku zmien jednu po druhej. „MCP UI“ je názov, pod ktorým ľudia hľadajú riešenie: server vráti interaktívne rozhranie, ktoré sa vykreslí priamo v AI klientovi, vedľa konverzácie.

Stav treba opísať presne. Nápad sa začal ako komunitný projekt MCP-UI. OpenAI vytvorilo podobný mechanizmus v Apps SDK. Projekt MCP navrhol spoločný štandard s oboma 21. novembra 2025 a 26. januára 2026 zverejnil MCP Apps ako prvé oficiálne rozšírenie MCP. Balíky MCP-UI dnes štandard implementujú a zostávajú priestorom na skúšanie vylepšení.

MCP UI teda dnes znamená MCP Apps. Je oficiálne a je to rozšírenie, nie jadro protokolu. Rozšírenia sú voliteľné: musí ich podporovať klient aj server, a dokumentácia priamo hovorí, že „podpora hostiteľov sa líši podľa klienta“. Dokumentácia MCP Apps uvádza ako podporujúcich hostiteľov Claude, Claude Desktop, VS Code GitHub Copilot, Microsoft 365 Copilot, Goose, Postman, MCPJam a Archestra.AI. Server, ktorého nástroje vracajú UI, musí stále fungovať aj pre klienta, ktorý zobrazuje len text.

Mechanicky využíva vlastné stavebné prvky MCP:

1. Popis nástroja obsahuje _meta.ui.resourceUri, ktorý ukazuje na zdroj ui://.
2. Hostiteľ načíta tento zdroj, stránku HTML s jej skriptmi, a môže ju prednačítať ešte pred zavolaním nástroja.
3. Hostiteľ ju vykreslí v izolovanom iframe, ktorý nemá prístup k nadradenej stránke, jej cookies ani úložisku.
4. Aplikácia a hostiteľ komunikujú cez postMessage v dialekte MCP založenom na JSON-RPC. Aplikácia môže žiadať o volania nástrojov a hostiteľ rozhoduje, ktoré povolí.

Cena je skutočná. Dodávate webový front end vnútri cudzej aplikácie, s content security policy, ktorú musíte deklarovať, s pravidlami vykresľovania, ktoré nemáte pod kontrolou, a s textovou alternatívou pre každého hostiteľa, ktorý UI ignoruje. Zisk je v tom, že schvaľovanie prestane byť prepisom chatu. Zoznam vhodných použití v dokumentácii končí slovami „schvaľovanie cestovných výdavkov, kontrola zmien v kóde alebo triedenie úloh“, a to je poctivé jadro veci: MCP UI je najlepšie na rozhodnutia, nie na dekoráciu.

Príklad Tajo iba na čítanie

Rozhranie Alto MCP v Tajo má query_contacts, ktoré hľadá kontakty uložené v pripojenom pracovnom priestore. Vyhľadajte existujúci kontakt podľa e-mailu a pozrite jeho ID, stav súhlasu s e-mailom a čas posledného pozorovania. Samostatný nástroj get_contact_topic_status číta jeho tematické odbery.

Sú to čítania z pracovného priestoru. Nezískavajú čerstvé údaje priamo od poskytovateľa, nespúšťajú synchronizáciu ani neposielajú správy. Nedokazujú ani funkčnosť všetkých konektorov. Chýbajúce alebo staré dáta skúmajte pri zdroji. Prázdny výsledok nedokazuje, že človek v Breve nie je.

Pomocou dokumentácie MCP Tajo pripojte podporovaného klienta a skontrolujte nástroje skutočne dostupné Vášmu oprávnenému priestoru. Interaktívny panel môže pomôcť, ak hostiteľ podporuje MCP Apps. Textový výsledok musí aj tak vysvetliť, čo sa stalo.

Volanie nástroja nie je trvalá synchronizácia

Opakovaná synchronizácia potrebuje aj plán, stabilnú identitu záznamov, uložený postup, rozhodnutia o opakovaní a záznam dokončených zápisov. To musí zabezpečiť vykonávajúca aplikácia. MCP štandardizuje prístup k nástrojom; ich výpis tieto pravidlá nedodá.

Po vypršaní času možno čítanie obvykle opakovať. Odoslanie alebo platba už mohli prebehnúť. Uchovajte záznam o vykonaní a zistite výsledok pred ďalším pokusom. Istota modelu nedáva oprávnenie ani nerobí opakovanie bezpečným.

Sprievodca API Brevo vysvetľuje zápis do cieľa na konkrétnej kontaktnej ceste. Sprievodca reverse ETL ukazuje, kedy vypočítané polia potrebujú vlastnú udržiavanú synchronizáciu.

Účet za bezpečnosť prichádza s protokolom

Námietka si zaslúži zaznieť celá: „MCP podá pravdepodobnostnému modelu zoznam funkcií, ktoré vedia mazať dáta a posielať e-maily, a potom dôveruje textu od cudzích ľudí, ktorý ich opisuje. To nie je integračný štandard. To je útok na dodávateľský reťazec so špecifikáciou.“ Väčšina z toho je pravda. Špecifikácia s premisou súhlasí. Jej bezpečnostná časť hovorí, že nástroje „predstavujú ľubovoľné spúšťanie kódu a treba s nimi zaobchádzať s primeranou opatrnosťou“, že popisy nástrojov „treba považovať za nedôveryhodné, pokiaľ nepochádzajú z dôveryhodného servera“, a že MCP „nedokáže tieto bezpečnostné princípy vynútiť na úrovni protokolu“.

Doterajšia bilancia:

• Tool poisoning (otrávenie nástrojov). Zverejnenie Invariant Labs z apríla 2025, nástroj add spomenutý vyššie. Ten istý príspevok opísal tzv. rug pull, keď server zmení popis nástroja po tom, ako ste ho schválili, a shadowing (zatienenie), keď jeden škodlivý server prepíše správanie modelu voči dôveryhodnému serveru.
• Kompromitácia lokálneho servera. V júli 2025 JFrog zverejnil CVE-2025-6514 v mcp-remote vo verziách 0.0.5 až 0.1.15, ktorá umožnila škodlivému serveru spúšťať príkazy na počítači používateľa. V to isté leto zasiahla CVE-2025-49596 vlastný MCP Inspector od Anthropic, ktorý sa v predvolenom nastavení dodával bez autentifikácie.
• Nafukovanie scopes. Oficiálne bezpečnostné odporúčania tento vzor pomenúvajú: tokeny s files:* alebo admin:* udelené hneď na začiatku, pretože server uviedol všetky scopes a klient si ich vyžiadal všetky.
• Oficiálne znepokojenie. V máji 2026 americká National Security Agency (NSA) uviedla, že „rýchle rozšírenie MCP predbehlo vývoj jeho bezpečnostného modelu“.

Kde sa námietka mýli, je záver. Riešením nikdy nebolo prestať prepájať modely so systémami. Tímy to už robili so surovými API kľúčmi vloženými do promptov a skriptov, úplne bez auditnej stopy. Riešením je zaobchádzať s MCP serverom ako s akoukoľvek inou privilegovanou závislosťou:

• Inštalujte servery len zo zdrojov, ktorým by ste zverili rovnaké prihlasovacie údaje aj mimo MCP.
• Uprednostnite vzdialené servery s OAuth a úzkymi scopes pred lokálnymi binárkami s dlhodobými kľúčmi.
• Pri každom zápise vyžadujte ľudské schválenie a zaznamenajte, kto čo schválil.
• Zafixujte verzie serverov a pri každej zmene popisu nástroja ich znova preverte.
• Sprístupňujte nástroje šité na úlohy, nie celé API. Model nemôže zneužiť endpoint na mazanie, ktorý nikdy nebol sprístupnený.

Protokol štandardizoval škatuľu. Kontrola nákladu je stále Vaša práca.

Postaviť si MCP server, alebo použiť existujúci

Verejné adresáre ako mcp.so katalogizujú servery od komunity a mnohí SaaS dodávatelia publikujú vlastné. Napríklad Brevo dodáva MCP server, ktorý je rozdelený aj na samostatné servery, takže agent môže dostať kontakty bez kampaní. Rozhodnutie je menej o námahe a viac o tom, kto má vlastniť tvar nástrojov.

Ktorý MCP server má Váš agent použiť?

1. Dodávateľ publikuje server, ktorý pokrýva úlohu

   Použite server dodávateľa

   Drží krok s API a udržiava ho dodávateľ.

2. Jeden systém, ale potrebujete menej alebo bezpečnejšie akcie

   Použite ho, so zúženým rozsahom

   Udeľte minimálne scopes a sprístupnite len skupiny nástrojov, ktoré agent potrebuje.

3. Interné dáta alebo systém bez servera

   Postavte malý server

   Niekoľko nástrojov šitých na úlohy nad Vaším vlastným API, s Vašou vlastnou autentifikáciou.

4. Úloha zasahuje do dvoch alebo viacerých systémov

   Postavte alebo prevezmite riadenú vrstvu

   Jedna sada nástrojov, pravidiel súhlasu a auditnej histórie pre všetky systémy.

Postaviť základný server je tá ľahká časť. S oficiálnym SDK je funkčný stdio server s jedným nástrojom práca na jedno popoludnie. Náklady prídu neskôr: OAuth pre verziu cez HTTP, zastarávanie (revízia 2026-07-28 označila za zastarané Roots, Sampling a Logging aj Dynamic Client Registration) a priebežná práca na popisoch nástrojov, ktoré model číta správne. Obaliť API spôsobom jeden endpoint na jeden nástroj je najčastejšia chyba. Každý popis nástroja je text, ktorý musí model prečítať a zvážiť, takže krátky zoznam nástrojov šitých na úlohy porazí celé API.

MCP, API, integrácie a iPaaS

MCP nenahrádza API. Takmer každý MCP server je obal okolo nejakého API. Práca sa stále deje v API, s jeho vlastnými limitmi, dátovým modelom a zvláštnosťami. MCP mení to, kto ho môže volať: model, za behu, ktorý volanie vyberie podľa popisu, namiesto vývojára, ktorý ho vopred napevno zapíše do kódu.

Tento rozdiel jasne oddeľuje MCP od dvoch ďalších vecí, s ktorými sa zamieňa:

• Integrácie a iPaaS (porovnanie hlavných platforiem nájdete tu) presúvajú dáta podľa plánu alebo spúšťača, deterministicky, bez ohľadu na to, či niekto práve chatuje. Nočná synchronizácia 40 000 objednávok do CRM by nemala závisieť od toho, či sa model rozhodne urobiť 40 000 volaní nástrojov.
• Reverzné ETL posiela modelované dáta z dátového skladu späť do prevádzkových nástrojov. Čo je reverzné ETL a kedy sa hodí je samostatná téma, a je to pipeline, nie konverzácia.
• MCP je na chvíle, keď sa človek alebo agent potrebuje naprieč týmito systémami niečo opýtať, niečo skontrolovať alebo niečo urobiť, na požiadanie.

Chyba sa robí oboma smermi. Niektoré tímy stavajú MCP servery na hromadnú synchronizáciu a dostanú pomalé, drahé a neopakovateľné pipeliny. Iné tímy postavia starostlivé integrácie a potom dajú svojmu AI asistentovi surový API kľúč, aby sa ich mohol pýtať, a dostanú neriadené zadné dvierka.

Pri podporovanej integrácii musí trvalá úloha a nástroje na jej kontrolu zdieľať jasnú hranicu oprávnení. Overte konektor, povolené akcie a zaznamenané výsledky daného postupu. Dokumentácia integrácií rozlišuje návody na nastavenie od ciest, ktoré ešte potrebujú dôkaz z produkcie. MCP môže vystaviť oddelené schválené nástroje; zoznam nedokazuje aktívnu opakovanú synchronizáciu ani všetky kontroly.

Za 22 mesiacov sa MCP dostal od šiestich referenčných serverov k projektu Linux Foundation, ktorým hovoria Claude, ChatGPT, VS Code aj Cursor. Pripojiť model k systému je dnes tá lacná časť. Skutočná práca je rozhodnúť, čo tam smie robiť.