Che cos'è MCP, e perché all'improvviso ogni strumento di IA lo parla?
Per gran parte dell'ultimo decennio, collegare un modello di IA agli strumenti della propria azienda significava un'integrazione su misura per ogni coppia. Model Context Protocol, lo standard aperto che Anthropic ha presentato a novembre 2024, ha sostituito tutto questo con una sola presa che entra ovunque — e OpenAI, Google e Microsoft lo hanno adottato da allora. Ecco come funziona davvero, e una checklist concreta prima di collegarne uno ai dati del proprio team.
Aprite l'app desktop di Claude e chiedetele di controllare le pull request aperte del team: può semplicemente farlo. Non perché Anthropic abbia costruito un'integrazione GitHub dentro Claude. Perché da qualche parte — il vostro team IT, un fornitore, uno sviluppatore su GitHub — qualcuno ha scritto un piccolo programma che parla un protocollo chiamato MCP, e Claude sa già parlare con qualsiasi cosa lo parli. Lo stesso vale ora per ChatGPT, Gemini di Google e Microsoft Copilot. Quella convergenza, più di qualsiasi singolo rilascio di funzionalità, è il motivo per cui MCP è diventato ciò per cui quasi ogni fornitore di IA ha passato l'ultimo anno a costruire il supporto.
Che cos'è MCP, davvero
MCP sta per Model Context Protocol. Anthropic lo ha progettato e ha pubblicato la specifica in open source, insieme ai primi SDK, il 25 novembre 2024. I materiali di lancio lo descrivevano con un'analogia che è rimasta: pensate a MCP come a una porta USB-C per le applicazioni di IA — uno standard di connettore fisico, invece di un cavo diverso per ogni accessorio. Al lancio, Anthropic ha citato i primi adottanti che stavano già inserendo il supporto MCP nei propri prodotti, tra cui le software house enterprise Block e Apollo e i produttori di strumenti per sviluppatori Zed, Replit, Codeium e Sourcegraph. L'app desktop di Claude è uscita, lo stesso giorno, con la capacità di eseguire server MCP in locale sulla macchina di una persona.
Il problema che risolve: N strumenti per M fonti di dati
Il problema che MCP risolve ha un nome che gli ingegneri usano con naturalezza: il problema di integrazione N per M. Supponiamo che un'azienda usi cinque strumenti di IA che devono agire sui dati aziendali — Claude, ChatGPT, GitHub Copilot, Cursor e un bot di supporto interno — e che quei dati vivano in otto posti: Slack, GitHub, un database Postgres, Salesforce, Notion, Google Drive, Jira e un'API interna. Senza un protocollo condiviso, collegare ogni strumento a ogni fonte in modo utile richiede fino a quaranta integrazioni separate — cinque per otto — ciascuna con il proprio schema di autenticazione, la propria gestione degli errori e il proprio costo di manutenzione ogni volta che una di quelle API cambia forma. Aggiungete un sesto strumento di IA e il numero sale a quarantotto. In pratica, nessuno ha costruito tutte e quaranta. Ogni fornitore di IA ha costruito la manciata che giudicava degna del tempo di ingegneria, e tutto il resto è rimasto manuale: copia, incolla, spiega di nuovo, ripeti.
MCP trasforma la moltiplicazione in addizione. Un'azienda che vuole che Claude legga dal proprio database Postgres non costruisce un connettore Postgres specifico per Claude. Costruisce — o riusa uno che qualcun altro ha già pubblicato — un server MCP che espone Postgres, e quel server funziona con Claude, ChatGPT, Gemini o qualsiasi altro agente compatibile con MCP, senza altro codice. L'elenco di Anthropic, al lancio, citava server già pronti per Google Drive, Slack, GitHub, Git, Postgres e uno strumento di automazione del browser chiamato Puppeteer. Il punto non è mai stato che Anthropic li avrebbe costruiti tutti. È che chiunque poteva farlo, e il catalogo dei server disponibili è cresciuto ben oltre ciò che una sola azienda potrebbe coprire con il proprio personale.
Come funziona davvero il protocollo
Tolto il contorno, MCP è un protocollo client-server piuttosto semplice, volutamente poco glamour. Definisce tre ruoli. Un Host è l'applicazione che una persona apre davvero — Claude Desktop, un IDE come Cursor, l'app ChatGPT. L'Host incorpora un MCP Client, che apre una connessione diretta e con stato verso un MCP Server — un piccolo programma che espone un sistema preciso: un database, uno strumento di ticketing, un filesystem, un'API interna. Client e server si scambiano messaggi in formato JSON-RPC 2.0, un formato leggero di chiamata di procedura remota già comune nell'infrastruttura esistente, su uno di due trasporti: stdio, quando il server è un programma che gira in locale sulla stessa macchina, oppure Streamable HTTP, quando è un servizio ospitato che gira altrove.
Ciò che un server può esporre si riduce a tre primitive. I Tools sono funzioni che il modello può chiamare per agire — create_task, run_query, send_message — e il modello decide quando chiamarne una in base alla conversazione. Le Resources sono contesto in sola lettura che l'Host può recuperare e passare al modello senza che questo debba chiederlo — il contenuto di un file, uno schema di database, un ticket di supporto. I Prompts sono modelli riutilizzabili, attivati dalla persona — un «riassumi questo thread» o «prepara un aggiornamento di stato» già pronto, che qualcuno invoca in modo esplicito, invece di qualcosa che il modello decide di fare da solo. Un server ben costruito rende esplicito quale dei tre offre per una data capacità, perché quella distinzione determina esattamente se uno strumento di IA collegato può guardare qualcosa o modificarlo.
Chi altro lo ha adottato, e quando
I primi mesi di MCP sono stati un progetto solo di Anthropic. È cambiato in fretta, e in un modo davvero insolito nell'IA: concorrenti diretti sono convergenti sul protocollo di una sola azienda, invece di pubblicare il proprio. OpenAI ha aggiunto il supporto MCP al proprio Agents SDK a marzo 2025, permettendo agli sviluppatori di collegare flussi di agenti a qualsiasi server MCP invece di costruire integrazioni di strumenti su misura, specifiche di OpenAI. Il mese successivo, Google DeepMind ha confermato che Gemini e il proprio kit di sviluppo per agenti avrebbero supportato anch'essi MCP — una mossa che Google ha affiancato al proprio protocollo complementare, Agent2Agent, pensato per far coordinare agenti indipendenti tra loro piuttosto che con gli strumenti. A maggio 2025, Microsoft aveva portato il supporto nativo di MCP su Windows 11 attraverso ciò che chiama Windows AI Foundry, con il supporto arrivato anche in GitHub Copilot e Copilot Studio.
Nessuna di quelle quattro aziende è d'accordo su molto, quando si parla di architettura dei modelli, prezzi o strategia di piattaforma. Tutte e quattro ora distribuiscono prodotti che parlano lo stesso protocollo per collegare un agente a uno strumento. È abbastanza raro in questo settore da essere la storia vera — più di qualsiasi singola funzione che MCP rende possibile.
Perché è una questione di fiducia, non solo di impianto
Quella convergenza è davvero utile, ed è esattamente il motivo per cui MCP merita scrutinio piuttosto che fiducia cieca. Un protocollo che rende banale per un agente collegarsi ai sistemi della vostra azienda è un protocollo che rende banale per una connessione costruita male o configurata male raggiungere quegli stessi sistemi. MCP di per sé non lo impedisce. La specifica definisce come un client e un server si parlano — non dice nulla su chi può concedere una connessione, che cosa quella connessione può toccare, o se qualcuno se ne accorgerà se qualcosa va storto. Quelle scelte stanno interamente in chi ha costruito o configurato il server o il client specifico che avete davanti. Alcuni fornitori costruiscono tutto questo con cura. Altri non lo costruiscono affatto, e il protocollo non li fermerà.
MCP è un protocollo di collegamento, non un sistema di controllo degli accessi. Standardizza il modo in cui un agente chiede a uno strumento di fare qualcosa. Se quella richiesta è circoscritta, registrata e revocabile è una decisione che qualcuno ha preso — o non ha preso — sopra di esso.
Una checklist prima di collegarne uno
Prima che il team colleghi un server MCP — che sia un prodotto di un fornitore, uno strumento open source trovato su GitHub, o qualcosa costruito in casa — sei domande separano una connessione governata da una porta aperta. Nessuna richiede di leggere la specifica. Richiedono solo che qualcuno chieda prima di fare clic su approva, e che legga davvero la risposta che la schermata di connessione restituisce.
| Chiedete questo | Come si presenta il buono | Tenete d'occhio |
|---|---|---|
| Quali ambiti o tools richiede? | Dettagliato Un elenco nominato e specifico che potete leggere prima di approvare — «crea attività, leggi i messaggi di questo canale». | Generico «Accesso completo all'account», senza un elenco di ciò che può fare davvero. |
| È in sola lettura, o può scrivere e agire? | Separato Accesso in lettura per impostazione predefinita; ogni azione che modifica i dati ha bisogno di una concessione visibile propria. | Accorpato Accesso in scrittura incluso in automatico, senza modo di capire quale capacità fa che cosa. |
| È per persona o condiviso su tutto il team? | Per persona Ogni persona accede con il proprio login; l'agente vede solo ciò che quella persona può vedere. | Condiviso Una chiave API o un account di servizio usato da tutto il team, che aggira i permessi individuali. |
| Esiste un audit log di ciò che ha fatto? | Registrato Ogni chiamata a uno strumento viene annotata — chi lo ha collegato, che cosa ha toccato e quando. | Non registrato Nessuna traccia oltre a ciò che lo strumento di IA stesso sceglie di raccontarvi. |
| Si può revocare all'istante? | Immediato Un interruttore, efficace subito, da una pagina di impostazioni che controllate voi. | Ritardato La revoca richiede un ticket di supporto, una chiamata al fornitore, oppure non è possibile. |
| Revocarlo rompe qualcos'altro? | Isolato Limitato a quella sola connessione; spegnerla riguarda solo quella. | Intrecciato Condivide una credenziale con altri strumenti, così revocarne uno rompe in silenzio altri tre. |
Come si presenta davvero una connessione ben costruita
La configurazione MCP di FabricLoop è una risposta concreta a quella checklist — non perché sia insolita, ma perché ogni pezzo corrisponde direttamente a una delle sei domande sopra, e vale la pena nominare la meccanica reale invece della versione di marketing. FabricLoop svolge entrambi i ruoli insieme: è un server MCP a cui si collegano strumenti esterni, così Cursor, Claude o ChatGPT possono creare un'attività, aggiungere un commento o leggere una nota usando i permessi FabricLoop di una persona specifica — ed è un client MCP che si collega verso l'esterno, così un canale può far entrare l'app MCP di un fornitore, come GitHub o Linear, e menzionarla con @ come un compagno di team.
Ogni connessione, in entrambe le direzioni, inizia da una persona, non da un workspace. Collegare un client esterno come Cursor apre una schermata di consenso OAuth su app.fabricloop.com/oauth/consent, dove quella persona sceglie un workspace e approva i tools specifici che il client chiede — il client può poi agire solo con gli ambiti concessi su quella schermata, sotto i permessi di quella sola persona, mai con un account di servizio condiviso. La direzione inversa funziona allo stesso modo: un amministratore può abilitare l'app MCP di un fornitore per tutto il team, ma ogni persona completa comunque il proprio accesso prima che funzioni per lei, e un amministratore può impostare quell'app in sola lettura o limitarla a un elenco di tools specifici, invece di tutto ciò che il fornitore espone.
Ogni client collegato compare su una schermata di impostazioni accanto a un controllo Revoca che lo disconnette subito — la pagina della persona, non un ticket di supporto. Nei piani Enterprise, quell'attività — comprese le concessioni MCP e ciò che un agente collegato ha fatto davvero — finisce in un audit log che un team di sicurezza può consultare su richiesta, invece di screenshot tirati fuori da un thread di chat a posteriori.
Niente di tutto questo è ingegneria esotica. È un piccolo insieme di decisioni, volutamente poco glamour, ripetute con costanza: circoscrivere, legare a una persona, registrare, rendere revocabile senza danni collaterali. È lo stesso argomento che questo sito sostiene in modo più ampio sulla Legibility — un accesso che si può nominare, registrare e revocare batte un accesso a cui nessuno deve pensare — e MCP lo consegna solo se qualcuno lo costruisce così. Il protocollo rende standard l'impianto. Non rende automatica la governance.
La decisione che conta davvero
MCP non sparirà, e opporsi a questo punto somiglia un po' a opporsi all'USB. Ogni grande fornitore di modelli ormai lo distribuisce, l'elenco dei server disponibili continua a crescere, e un agente che non può raggiungere i vostri strumenti è, per la maggior parte del lavoro reale, un agente che non può fare molto. La decisione interessante non è se lasciare che uno strumento di IA si colleghi ai vostri sistemi — sempre più spesso una versione di quella decisione viene già presa per voi, un'integrazione alla volta, mentre strumenti che il team già usa aggiungono in silenzio il supporto MCP sotto una funzione su cui avete fatto clic senza leggere le clausole. La decisione che è ancora davvero vostra è che cosa controllate prima di fare clic su approva.
MCP ha standardizzato il modo in cui un agente di IA chiede a uno strumento di fare qualcosa. Non ha fatto nulla per standardizzare se quella richiesta sia sicura da concedere — quella parte resta, e resterà, una decisione della persona che fa clic su «approva».