MCP(Model Context Protocol)는 AI 애플리케이션이 파일, 데이터베이스, 업무 도구 같은 외부 시스템에 연결되는 방식을 하나로 맞춘 공개 표준입니다. 공식 문서는 MCP를 "AI 애플리케이션을 위한 USB-C 단자"에 빗댑니다. USB-C 하나로 여러 기기를 연결하듯, MCP 하나로 여러 AI 앱과 여러 도구를 연결한다는 뜻입니다.
한눈에 보기
- MCP는 ChatGPT, Claude 같은 AI가 메일, 주문 장부, 사내 문서 같은 바깥 도구를 쓸 수 있게 잇는 공통 규격입니다.
- 도구를 가진 쪽이 연결 장치(MCP 서버)를 한 번 만들면, MCP를 지원하는 여러 AI 앱이 그대로 가져다 씁니다.
- 연결이 쉬운 만큼 AI가 할 수 있는 일도 커지므로, 믿을 수 있는 서버만 쓰고 권한을 좁게 주는 것이 먼저입니다.
이런 상황을 떠올려 보세요
작은 온라인 쇼핑몰을 운영하는 사장님이 아침마다 하는 일이 있습니다. 쇼핑몰 관리자 화면에서 어제 들어온 주문을 내려받고, 메일함을 열어 배송을 묻는 고객 메일을 찾고, 메신저 단체방에 올라온 문의까지 훑은 뒤, 주문번호끼리 짝을 맞춰 엑셀에 정리합니다. ChatGPT에게 도움을 받으려 해도 주문 목록과 메일을 일일이 복사해 붙여 넣어야 합니다. AI는 사장님이 붙여 준 글만 볼 수 있기 때문입니다.
MCP로 주문 데이터베이스, 메일, 메신저를 AI 비서에 연결해 두면 장면이 달라집니다. "어제 들어온 주문 중 배송 문의가 온 건만 정리해 줘"라고 한 줄 적으면, AI가 주문 장부에서 어제 주문을 꺼내고, 메일과 메신저에서 배송 문의를 찾아, 주문번호별로 묶은 표를 돌려줍니다. 복사해 붙이는 일은 사라지고, 사장님은 결과를 확인하고 답장을 보낼지만 정하면 됩니다. AI가 이렇게 여러 도구에 손을 뻗게 해 주는 연결 규격이 MCP입니다.
| MCP 연결 전 | MCP 연결 후 | |
|---|---|---|
| 자료 모으기 | 사람이 관리자 화면, 메일, 메신저를 돌며 복사 | AI가 연결된 도구에서 직접 꺼냄 |
| AI에게 주는 것 | 붙여 넣은 글 | "어제 주문 중 배송 문의만" 같은 한 줄 지시 |
| 사람이 하는 일 | 모으기, 짝 맞추기, 정리 | 결과 확인, 보낼지 말지 결정 |
왜 필요해졌나
언어 모델은 스스로 메일을 읽거나 데이터베이스를 조회할 수 없습니다. 그래서 개발자들은 2023년부터 함수 호출(function calling) 기능으로 모델에게 도구를 쥐여 줬습니다. 모델이 "이 함수를 이런 값으로 불러 달라"고 말하면, 프로그램이 실제로 함수를 실행하고 결과를 돌려주는 방식입니다. 비유하면 모델은 전화로 지시만 하는 관리자이고, 실제 서류를 꺼내 오는 일은 프로그램이 대신하는 셈입니다.
문제는 연결 방식이 앱마다 달랐다는 점입니다. Claude에 슬랙을 붙이는 코드, ChatGPT에 슬랙을 붙이는 코드, 사내 에이전트에 슬랙을 붙이는 코드를 따로 짜야 했습니다. 앱이 3개, 도구가 4개면 연결이 12개 필요합니다. 나라마다 콘센트 모양이 달라 여행 갈 때마다 변환 플러그를 따로 챙기던 것과 비슷합니다. Anthropic은 MCP를 발표하며 "새 데이터 소스마다 따로 구현해야 해서 연결된 시스템을 늘리기 어렵다"는 문제를 짚고, MCP가 "흩어진 연결을 하나의 프로토콜로 바꾼다"고 설명했습니다. 프로토콜은 프로그램끼리 대화할 때 지키기로 약속한 순서와 양식을 말합니다.
MCP 규격은 코드 편집기 분야의 LSP(Language Server Protocol)에서 아이디어를 얻었다고 밝힙니다. LSP는 프로그램 코드를 쓰는 편집기와, 파이썬이나 자바 같은 프로그래밍 언어별 도우미 프로그램을 잇는 공통 규격입니다. 예전에는 편집기마다 언어마다 자동 완성 기능을 따로 만들었지만, LSP가 나온 뒤로는 언어 서버 하나를 만들면 여러 편집기가 함께 씁니다. MCP는 같은 일을 AI 앱과 도구 사이에서 합니다. 도구를 가진 쪽이 MCP 서버를 한 번 만들면, MCP를 지원하는 모든 AI 앱이 그 도구를 쓸 수 있습니다. 쇼핑몰 솔루션 회사가 MCP 서버를 하나 내놓으면, 사장님은 Claude를 쓰든 ChatGPT를 쓰든 같은 연결을 쓸 수 있다는 뜻입니다.
구조: 호스트, 클라이언트, 서버
MCP에는 세 역할이 있습니다. 식당에 빗대면 식당 자체가 호스트, 그 안에서 주문을 받아 전달하는 직원이 클라이언트, 재료를 대는 바깥 납품업체가 서버입니다. 직원은 납품업체마다 한 명씩 붙어, 필요한 재료를 정해진 주문서 양식으로 요청합니다.
- 호스트: 사용자가 쓰는 AI 애플리케이션입니다. Claude Desktop, Cursor, VS Code, 사내 에이전트가 여기에 해당합니다.
- 클라이언트: 호스트 안에서 MCP 서버 하나와 연결을 맡는 부분입니다. 호스트는 연결할 서버마다 클라이언트를 하나씩 만듭니다.
- 서버: 도구와 데이터를 내놓는 프로그램입니다. 파일 시스템 서버, 데이터베이스 서버, 깃허브 서버, 사내 API(프로그램끼리 정해진 방식으로 주고받는 창구) 서버처럼 연결 대상마다 하나씩 둡니다. 여기서 서버는 꼭 큰 컴퓨터가 아니라, 도구 하나를 맡아 요청에 답하는 작은 프로그램이라고 보면 됩니다.
클라이언트와 서버는 정해진 편지 양식으로 대화합니다. 이 양식의 이름이 JSON-RPC 2.0입니다. "누가, 무엇을, 어떤 값으로 해 달라"를 적는 칸이 정해져 있어서, 처음 만나는 프로그램끼리도 서로의 요청을 오해 없이 읽을 수 있습니다. 편지를 나르는 길은 두 가지가 표준입니다.
- 내 PC 안에서 직접 잇기(stdio): AI 앱이 내 컴퓨터에서 서버 프로그램을 직접 켜고, 같은 컴퓨터 안에서 메시지를 주고받습니다. 내 PC의 파일이나 로컬 데이터베이스에 연결할 때 씁니다.
- 인터넷 너머 서버와 잇기(Streamable HTTP): 다른 곳에 있는 서버에 웹 주소로 메시지를 보냅니다. 여러 사용자가 함께 쓰는 SaaS(설치 없이 인터넷으로 빌려 쓰는 업무 서비스)나 사내 서버에 씁니다.
서버가 내놓는 세 가지
MCP 서버는 AI 앱에게 세 종류를 내놓을 수 있습니다. 누가 쓸지를 정하는 주체가 서로 다르다는 점이 핵심입니다.
| 구성 요소 | 무엇인가 | 누가 쓸지 정하나 | 예 |
|---|---|---|---|
| 도구(Tools) | AI가 실행하는 기능 | 모델 | 메일 보내기, 파일 쓰기, 데이터베이스 조회(쿼리) 실행 |
| 리소스(Resources) | AI에게 주는 데이터 | 애플리케이션 | 문서 내용, 데이터베이스 구조, 코드 변경 기록(커밋 이력) |
| 프롬프트(Prompts) | 미리 만든 작업 틀 | 사용자 | 코드 리뷰 틀, 회의록 요약 틀 |
쇼핑몰 예로 옮기면, "고객에게 메일 보내기"는 도구, "어제 주문 목록"은 리소스, "배송 문의 답장 틀"은 프롬프트입니다. 도구는 AI가 필요하다고 판단할 때 부르고, 리소스는 앱이 골라 AI에게 읽히고, 프롬프트는 사장님이 메뉴에서 골라 씁니다.
도구마다 이름표와 사용설명서가 붙어 있습니다. 이름, 무슨 일을 하는지 적은 설명, 그리고 어떤 값을 넣어야 하는지 적은 입력 양식입니다. AI는 이 설명서를 읽고 "배송 문의를 찾으려면 이 도구에 날짜를 넣어 부르면 되겠다"고 판단합니다.
AI 앱은 연결된 모든 서버에 "어떤 도구가 있나요?"라고 물어 쓸 수 있는 도구 목록을 만들고, 모델이 도구를 고르면 그 요청을 해당 서버로 보냅니다. 모델의 함수 호출 능력은 그대로 쓰고, 도구를 찾고, 부르고, 결과를 돌려주는 과정을 앱과 서버 사이에서 표준으로 맞춘 층이 MCP라고 이해하면 됩니다.
반대 방향의 기능도 있습니다. 서버가 작업 중에 사용자에게 추가 정보를 물을 수 있는 되묻기(elicitation) 기능은 2025년 6월 규격에 들어왔습니다. 예를 들어 주문 취소 도구가 "환불 계좌를 알려 주세요"처럼 작업 도중에 필요한 값을 사람에게 되물을 수 있습니다.
직접 써 보기
Claude Desktop에 내 컴퓨터의 폴더를 연결하는 방법은 공식 문서에 나와 있습니다. 설정 파일(claude_desktop_config.json)에 쓸 서버 이름과 AI에게 열어 줄 폴더(예: 바탕화면, 다운로드)를 적어 두면, 앱이 켜질 때 서버를 실행해 연결합니다. 실제 설정 내용은 글 끝 심화 절에 옮겨 두었습니다.
이제 "다운로드 폴더에서 지난주 받은 계약서를 찾아 요약해 줘"라고 하면, 모델이 파일 시스템 서버의 도구로 폴더를 뒤지고 파일을 읽어 답합니다. 공식 문서는 이 서버가 "사용자 계정의 권한으로 실행되므로, 사용자가 직접 할 수 있는 모든 파일 작업을 할 수 있다"고 경고합니다. 사장님이 지울 수 있는 파일이면 AI도 지울 수 있다는 뜻입니다. 연결할 폴더를 좁게 지정해야 하는 이유입니다.
어디까지 퍼졌나
AI 에이전트(사람이 시킨 일을 여러 단계로 나눠 스스로 처리하는 AI 프로그램)가 도구를 쓰는 일이 흔해지면서, MCP는 에이전트가 바깥 세계와 연결되는 기본 통로가 되고 있습니다. 2024년 11월 Anthropic이 공개한 뒤 OpenAI, 구글, 마이크로소프트가 차례로 지원을 발표했고, 2025년 12월에는 리눅스 재단 산하로 옮겨 업계가 함께 관리하는 표준이 됐습니다.
주요 회사들의 지원 발표를 시간 순으로 모으면 다음과 같습니다. 중간에 나오는 SDK는 개발자가 MCP 서버나 앱을 만들 때 가져다 쓰는 공식 부품 모음이고, 그 다운로드 수는 MCP로 무언가를 만드는 개발자가 얼마나 많은지 보여 주는 신호입니다.
- 2025년 3월: OpenAI가 에이전트 SDK부터 MCP 지원을 시작한다고 밝혔습니다.
- 2025년 4월: 구글 딥마인드의 데미스 허사비스는 "MCP는 좋은 프로토콜이고 AI 에이전트 시대의 개방형 표준이 되고 있다"며 제미나이 모델과 SDK 지원을 발표했습니다.
- 2025년 5월: 마이크로소프트는 윈도 11에 MCP를 기본으로 지원하겠다고 발표했습니다.
- 2025년 12월: Anthropic은 활성 공개 MCP 서버가 1만 개를 넘고, 파이썬과 타입스크립트 SDK의 월 다운로드가 9,700만 회를 넘었다고 밝히며, MCP를 리눅스 재단 산하의 에이전틱 AI 재단(AAIF)에 기증했습니다. 이 재단에는 AWS, 구글, 마이크로소프트, OpenAI, 클라우드플레어, 블룸버그 등이 참여합니다.
- 2026년 7월: MCP 공식 블로그는 주요 SDK의 월 다운로드가 5억 회 가까이에 이르렀다고 밝혔습니다. 같은 달 나온 새 규격은 서버를 여러 대로 늘리기 쉽게 연결 방식을 가볍게 바꿨습니다. 자세한 내용은 글 끝 심화 절에 있습니다.
한 회사가 만든 규격이 경쟁사들까지 함께 쓰는 공동 표준이 됐다는 점이 중요합니다. 도입하는 쪽에서는 특정 AI 회사에 묶일 걱정을 덜 수 있습니다.
에이전트끼리는 A2A
MCP가 에이전트와 도구·데이터를 잇는다면, 에이전트와 에이전트를 잇는 표준도 있습니다. 구글이 2025년 4월 발표한 A2A(Agent2Agent)입니다. 구글은 A2A가 "MCP를 보완하는" 프로토콜이라고 설명했고, 2025년 6월 리눅스 재단 프로젝트로 옮겨졌습니다. 여러 회사의 에이전트가 서로 일을 나눠 맡는 멀티 에이전트 환경에서 쓰입니다. 앞의 식당 비유로 말하면 MCP는 직원과 납품업체 사이의 주문 방식이고, A2A는 다른 식당 직원끼리 일을 넘겨주는 방식입니다.
보안: 편한 만큼 조심할 곳
MCP는 연결을 쉽게 만드는 만큼, 잘못 연결했을 때의 피해도 쉽게 번집니다. 규격 스스로 "도구는 임의의 코드 실행과 같으니 신중히 다뤄야 한다", "호스트는 도구를 부르기 전에 사용자의 명시적인 동의를 받아야 한다"고 적고, 도구 호출을 거절할 수 있는 사람이 늘 흐름 안에 있어야 한다고 권합니다. 쉽게 말해 AI에게 도구를 주는 일은 낯선 사람에게 사무실 열쇠를 맡기는 일과 비슷하니, 중요한 행동 앞에서는 사람이 한 번 확인해야 한다는 뜻입니다. 다만 MCP가 프로토콜 수준에서 이를 강제할 수는 없으므로, 구현하는 쪽이 지켜야 합니다.
실제로 알려진 문제들은 이렇습니다. 표의 CVE는 공개된 보안 취약점마다 붙이는 국제 일련번호이고, 위험도는 10점 만점으로 매기는 심각도 점수입니다. 9점대는 가장 심각한 등급에 속합니다.
| 시기 | 문제 | 내용 |
|---|---|---|
| 2025년 4월 | 도구 중독(tool poisoning) | 도구 설명 안에 사용자에게는 보이지 않고 모델에게만 보이는 지시를 숨겨, 설정 파일이나 SSH 키(서버에 비밀번호 없이 들어가는 열쇠 파일)를 읽어 빼돌리게 하는 공격이 시연됐습니다(Invariant Labs). |
| 2025년 5월 | 깃허브 MCP를 거친 유출 | 공개 저장소의 악성 이슈를 읽은 에이전트가 비공개 저장소 내용을 공개 저장소로 옮기는 흐름이 시연됐습니다. 연구진은 서버 코드의 결함이 아니라 에이전트 구조의 문제라고 봤습니다. |
| 2025년 6월 | MCP Inspector 취약점 (CVE-2025-49596) | 개발용 점검 도구가 인증 없이 명령 실행 요청을 받아, 원격에서 코드를 실행할 수 있었습니다. 위험도 9.4이고, 0.14.1에서 고쳐졌습니다. |
| 2025년 7월 | mcp-remote 취약점 (CVE-2025-6514) | 신뢰할 수 없는 MCP 서버에 연결하면 인가 응답(로그인·권한 승인 과정에서 서버가 돌려주는 응답)에 심은 값으로 운영체제 명령이 실행될 수 있었습니다. 위험도 9.6입니다. |
표를 쉬운 말로 줄이면 세 갈래입니다. 첫째, AI는 도구 설명서를 그대로 믿기 때문에 설명서 안에 숨긴 나쁜 지시에 속을 수 있습니다. 둘째, 바깥 글을 읽는 AI가 그 글에 적힌 지시를 따라 비공개 자료를 밖으로 옮길 수 있습니다. 셋째, MCP를 쓸 때 곁들이는 보조 프로그램 자체에 구멍이 있으면 남이 내 컴퓨터에서 명령을 실행할 수 있습니다. 세 번째는 업데이트로 막히지만, 앞의 두 가지는 연결을 어떻게 짜느냐에 달려 있습니다.
공식 보안 모범 사례도 같은 방향입니다. 앱이 서버에 연결할 때마다 사용자 동의를 따로 받고, 한 서비스용으로 받은 출입증을 다른 서비스에 그대로 넘기지 말고, 한 번 눌러 설치하는 기능이라도 실제로 실행될 명령 전체를 먼저 보여 주라고 요구합니다. 도구 설명 같은 정보도 신뢰할 수 있는 서버에서 온 것이 아니면 믿지 말라고 적었습니다. 구현자를 위한 세부 내용은 심화 절에 있습니다.
MCP를 도입하는 조직이라면 다음을 먼저 확인하기를 권합니다.
- 믿을 수 있는 출처의 서버만 설치하고, 설치 명령을 끝까지 읽습니다.
- 서버에 주는 권한(폴더, 데이터베이스 계정, API 범위)을 작업에 필요한 만큼만 줍니다. 주문 조회만 할 AI에게 주문 삭제 권한까지 줄 필요는 없습니다.
- 외부 글을 읽는 서버와 비공개 데이터를 다루는 서버, 밖으로 보내는 서버가 한 에이전트에 모이면 프롬프트 인젝션(글 속에 숨긴 지시로 AI를 조종하는 공격)에 특히 조심합니다.
- 도구 호출 기록을 남기고, 위험한 호출은 실행 전에 확인합니다.
젠아이랩스와 MCP
젠아이랩스(GenAI Labs)는 MCP를 여러 제품에 씁니다. GensApps는 Claude Code, Cursor 같은 AI 편집기에 MCP 서버 주소 하나를 등록하면 "배포해 줘" 한마디로 만든 결과물을 공개 주소로 올려 주는 배포 서비스입니다. MCP Agent 구축은 Claude Desktop 같은 에이전트가 MCP로 사내 파일과 NAS 문서에 연결되도록 설치·구성합니다. GuardTrail은 에이전트의 MCP 도구 호출과 셸 명령을 실행 직전에 판정해 위험한 행동을 멈추는 에이전트 보안 제품입니다.
정리
MCP는 AI 앱과 외부 도구를 잇는 방식을 하나로 맞춘 공개 표준입니다. 도구를 가진 쪽이 서버를 한 번 만들면 여러 AI 앱이 함께 쓰고, 호스트·클라이언트·서버 구조 위에서 도구, 리소스, 프롬프트를 주고받습니다. 공개 1년여 만에 주요 AI 회사 대부분이 지원하는 업계 표준이 됐고, 2026년 7월 규격으로 더 가볍고 확장하기 쉬운 방식이 됐습니다. 연결이 쉬워진 만큼 권한을 좁히고, 믿을 수 있는 서버만 쓰고, 도구 호출을 기록하고 확인하는 일이 함께 따라가야 합니다.
개발자를 위한 심화
이 부분은 직접 구현하는 개발자를 위한 내용입니다.
메시지 형식과 전송 방식
클라이언트와 서버는 JSON-RPC 2.0 형식의 메시지로 대화합니다. 본문에서 쉬운 말로 소개한 두 전송 방식을 규격 용어로 적으면 이렇습니다.
- stdio: 호스트가 서버 프로그램을 내 컴퓨터에서 직접 실행하고, 표준 입출력으로 메시지를 주고받습니다.
- Streamable HTTP: 원격 서버에 HTTP로 메시지를 보냅니다. 처음에는 HTTP와 SSE(Server-Sent Events, 서버가 연결을 열어 둔 채 메시지를 이어서 흘려보내는 방식)를 함께 쓰는 방식이었는데, 2025년 3월 규격에서 지금의 방식으로 바뀌었습니다.
도구 정의와 호출
도구는 이름, 설명, 입력 형식(JSON 스키마, 어떤 값을 어떤 자료형으로 넣어야 하는지 적는 표준 양식)으로 정의합니다. 아래는 규격 문서에 실린 도구 정의 예시로, 숫자 두 개를 받아 더하는 도구의 이름표와 사용설명서입니다.
{
"name": "calculate_sum",
"description": "Add two numbers",
"inputSchema": {
"type": "object",
"properties": {
"a": { "type": "number" },
"b": { "type": "number" }
},
"required": ["a", "b"]
}
}
호스트는 연결된 모든 서버에 도구 목록을 물어(tools/list) 모델이 쓸 수 있는 도구 목록을 만들고, 모델이 도구를 고르면 그 호출을 해당 서버로 보냅니다(tools/call).
Claude Desktop 설정 예
아래는 공식 문서 기준으로 Claude Desktop의 설정 파일(claude_desktop_config.json)에 파일 시스템 서버를 적어 두는 모습입니다. args 끝의 두 경로가 AI에게 열어 줄 폴더입니다.
{
"mcpServers": {
"filesystem": {
"command": "npx",
"args": [
"-y",
"@modelcontextprotocol/server-filesystem",
"/Users/username/Desktop",
"/Users/username/Downloads"
]
}
}
}
2026년 7월 규격: 상태를 두지 않는 방식으로
2026-07-28 규격은 MCP의 큰 방향을 바꿨습니다. 이전까지는 연결을 시작할 때 클라이언트와 서버가 초기화(initialize) 절차로 버전과 기능을 맞추고, 세션을 유지하며 대화했습니다. 새 규격은 이 절차와 세션을 없애고, 요청마다 버전과 기능 정보를 함께 싣는 상태 없는(stateless) 방식으로 바꿨습니다. 서버를 여러 대로 늘리고 부하를 나누기 쉽게 하려는 변화입니다. 서버가 클라이언트의 모델을 빌려 쓰는 샘플링(sampling) 같은 일부 기능은 앞으로 없앨 기능으로 분류됐습니다. 이미 MCP 서버를 운영한다면 이 규격 변경을 확인해야 합니다.
보안 모범 사례 세부
공식 보안 모범 사례는 혼동된 대리인(confused deputy) 문제를 막기 위한 클라이언트별 동의, MCP 서버 자신을 위해 발급되지 않은 토큰을 받지 말 것(토큰 전달 금지), 원클릭 설치 전에 실행할 명령 전체를 보여 주고 동의받을 것 등을 요구합니다. 혼동된 대리인은 권한을 가진 중간 프로그램(여기서는 MCP 서버)이 다른 요청자의 부탁을 자기 권한으로 대신 처리해 버리는 문제입니다. 토큰 전달 금지는 사용자가 다른 서비스용으로 받은 접근 토큰을 MCP 서버가 받아 그대로 넘겨 쓰지 말라는 뜻입니다.