1. Quick refresher: what MCP is
The Model Context Protocol (MCP) is the open standard, originally released by Anthropic in November 2024, that lets an AI assistant — Claude, but also ChatGPT, Gemini, or Copilot — connect to external tools and data sources through a common interface: a database, a Slack workspace, a file system, a company's internal API. Instead of every AI vendor building custom, one-off integrations with every tool, both sides speak MCP and any client can use any server.
2. The numbers behind "de facto standard"
By the time Anthropic donated MCP to a neutral foundation in December 2025, the protocol already had roughly 97 million monthly SDK downloads across Python and TypeScript and more than 10,000 active public MCP servers, according to Anthropic's own announcement. By August 2026, third-party registries count far more than that: Glama alone indexes 71,000+ servers and the combined tally across registries approaches 101,000 — though these directories use different counting methods and include plenty of abandoned or duplicate listings, so the real number of actively maintained servers is smaller than the headline figure.
| Metric | Value |
|---|
| Monthly SDK downloads (Dec 2025 baseline) | ~97 million |
| MCP servers indexed (Aug 2026, combined registries) | ~101,000 (many abandoned/duplicate) |
| AI platforms with native MCP support | 6+ (Claude, ChatGPT, Gemini, Copilot/VS Code, Cursor, and more) |
| Servers monetized | <5% — the vast majority remain free/open source |
3. Who actually governs it now
On December 9, 2025, Anthropic donated MCP to the newly formed Agentic AI Foundation (AAIF), operating under the Linux Foundation, with Anthropic, Block, and OpenAI as co-founders and AWS, Google, Microsoft, Cloudflare, and Bloomberg joining as platinum members. That mattered less as a "first adoption" moment — Google, OpenAI, and Microsoft had already built MCP support into their own products months earlier — and more as a governance shift: competing AI companies agreed to jointly steward a protocol that used to be controlled by one of them. The AAIF has since grown to 460+ members (8 platinum, 47 gold, 400+ silver) and also stewards two adjacent projects: Block's open-source agent framework goose, and OpenAI's AGENTS.md convention for declaring agent capabilities in a repo.
4. MCP isn't alone anymore: the protocol stack
MCP solves one specific layer — an AI agent reaching down to call a tool or read data. Three adjacent protocols have emerged for problems MCP deliberately doesn't try to solve, and a full 2026 agent stack typically layers more than one:
| Protocol | Purpose | Origin |
|---|
| MCP | Agent → tool communication (the "vertical" connection) | Anthropic → AAIF |
| A2A | Agent → agent coordination across vendors (the "horizontal" connection) | Google → Linux Foundation |
| ACP | REST-native agent communication, largely converging into A2A | IBM → Linux Foundation |
| UCP | AI-driven commerce transactions (shopping agents, checkout) | Google + Shopify |
For most people building or using MCP servers day to day, MCP is the only one of these that matters directly — the others become relevant mainly for multi-agent or commerce-specific systems.
5. The security reckoning
Rapid adoption outpaced security hardening, and the last year produced a steady drumbeat of real incidents: a critical remote-code-execution flaw in Anthropic's own MCP Inspector tool, a path-traversal bug at Smithery.ai that exposed a hosting token covering 3,243 apps, a cross-tenant data leak in Asana's MCP feature affecting roughly 1,000 customers, and a wave of 30+ CVEs filed in a single 60-day window in early 2026 — around 43% of them command-injection patterns. Independent scans have found the problem is widespread rather than a handful of bad actors: a 2026 audit of 1,808 MCP servers found security findings in 66% of them, and a separate scan of nearly 4,000 AI agent "skills" found confirmed malicious payloads in 76 of them.
The signature MCP-specific attack is tool poisoning: an AI model reads a tool's description to decide whether and how to call it, and that description can contain instructions invisible in the UI but followed by the model anyway — for example, a tool description that quietly instructs the agent to also read and exfiltrate SSH keys alongside its stated function. Research testing 20 prominent agents against this attack found some models followed the poisoned instructions more than 70% of the time — and, counter-intuitively, more capable, better instruction-following models were often more susceptible, not less.
OWASP has responded with a dedicated MCP Top 10 risk list, covering categories like token mismanagement, privilege escalation via scope creep, command injection, tool poisoning, and supply-chain/dependency tampering — a sign the protocol's attack surface is now considered distinct enough to need its own security framework, separate from general web app security.
6. Enterprises respond: the gateway layer
The most visible enterprise response has been the emergence of MCP "gateways" — a layer that sits between AI clients and MCP servers to centralize authentication, apply tool-level access controls (which agent can call which tool), log everything for audits, and enforce rate/cost limits, instead of trusting every server directly. Pinterest published a detailed public case study of this pattern in production: domain-specific MCP servers behind a central registry, human-in-the-loop approval for sensitive operations, handling around 66,000 monthly tool calls across 844 users and saving an estimated 7,000 hours of manual work per month — real evidence that the pattern scales when paired with proper review and gateway infrastructure, not just optimistic adoption.
On the protocol itself, the July 2026 MCP specification revision (2026-07-28) removed the stateful handshake that had been forcing sticky routing and blocking clean auto-scaling — described as the largest revision to the protocol since it launched — though the benefit only lands once clients, servers, and gateways across the ecosystem actually migrate to it.
7. What this means if you use MCP servers
The practical takeaway isn't "avoid MCP" — the ecosystem clearly works and is scaling to real production workloads. It's that the same casual trust people extend to installing an npm package doesn't hold up for MCP servers, because a server's tool descriptions are read directly by the model as instructions. Before adding a third-party MCP server to a personal or team setup: prefer servers from the official registry or well-known publishers, scan or review what a server's tools claim to do versus what they actually request access to, and treat an unfamiliar server the way you'd treat an unfamiliar browser extension asking for broad permissions — not the way you'd treat a static library with no runtime behavior of its own.
Sources
Researched August 20, 2026:
1. Relembrando rápido: o que é o MCP
O Model Context Protocol (MCP) é o padrão aberto, lançado originalmente pela Anthropic em novembro de 2024, que deixa um assistente de IA — o Claude, mas também ChatGPT, Gemini ou Copilot — se conectar a ferramentas e fontes de dados externas por uma interface comum: um banco de dados, um workspace do Slack, um sistema de arquivos, uma API interna de empresa. Em vez de cada fornecedor de IA construir integrações customizadas e únicas com cada ferramenta, os dois lados falam MCP e qualquer cliente consegue usar qualquer servidor.
2. Os números por trás de "padrão de fato"
Quando a Anthropic doou o MCP pra uma fundação neutra em dezembro de 2025, o protocolo já tinha aproximadamente 97 milhões de downloads mensais do SDK entre Python e TypeScript, e mais de 10 mil servidores MCP públicos ativos, segundo o próprio anúncio da Anthropic. Em agosto de 2026, registros de terceiros contam bem mais que isso: só o Glama indexa mais de 71 mil servidores, e a soma combinada entre registros chega perto de 101 mil — embora esses diretórios usem métodos de contagem diferentes e incluam bastante listagem abandonada ou duplicada, então o número real de servidores ativamente mantidos é menor que o número de manchete.
| Métrica | Valor |
|---|
| Downloads mensais do SDK (base de dez/2025) | ~97 milhões |
| Servidores MCP indexados (ago/2026, registros combinados) | ~101 mil (muitos abandonados/duplicados) |
| Plataformas de IA com suporte nativo a MCP | 6+ (Claude, ChatGPT, Gemini, Copilot/VS Code, Cursor, e mais) |
| Servidores monetizados | <5% — a grande maioria continua gratuita/open source |
3. Quem governa ele de verdade agora
Em 9 de dezembro de 2025, a Anthropic doou o MCP pra recém-formada Agentic AI Foundation (AAIF), operando sob a Linux Foundation, com Anthropic, Block e OpenAI como cofundadoras e AWS, Google, Microsoft, Cloudflare e Bloomberg entrando como membros platinum. Isso importou menos como um momento de "primeira adoção" — Google, OpenAI e Microsoft já tinham colocado suporte a MCP em seus próprios produtos meses antes — e mais como uma mudança de governança: empresas de IA concorrentes concordaram em administrar juntas um protocolo que antes era controlado por uma delas. A AAIF desde então cresceu pra mais de 460 membros (8 platinum, 47 gold, mais de 400 silver) e também cuida de dois projetos vizinhos: o framework de agente open source da Block, goose, e a convenção AGENTS.md da OpenAI pra declarar capacidades de agente num repositório.
4. O MCP não está mais sozinho: a pilha de protocolos
O MCP resolve uma camada específica — um agente de IA descendo pra chamar uma ferramenta ou ler um dado. Três protocolos vizinhos surgiram pra problemas que o MCP deliberadamente não tenta resolver, e uma pilha completa de agentes em 2026 tipicamente empilha mais de um:
| Protocolo | Propósito | Origem |
|---|
| MCP | Comunicação agente → ferramenta (a conexão "vertical") | Anthropic → AAIF |
| A2A | Coordenação agente → agente entre fornecedores (a conexão "horizontal") | Google → Linux Foundation |
| ACP | Comunicação de agente nativa em REST, convergindo em boa parte pro A2A | IBM → Linux Foundation |
| UCP | Transações de comércio guiadas por IA (agentes de compra, checkout) | Google + Shopify |
Pra maioria das pessoas construindo ou usando servidores MCP no dia a dia, o MCP é o único desses que importa diretamente — os outros se tornam relevantes principalmente pra sistemas multi-agente ou específicos de comércio.
5. O acerto de contas de segurança
A adoção rápida passou na frente do fortalecimento de segurança, e o último ano produziu um ritmo constante de incidentes reais: uma falha crítica de execução remota de código na própria ferramenta MCP Inspector da Anthropic, um bug de path traversal na Smithery.ai que expôs um token de hospedagem cobrindo 3.243 apps, um vazamento de dados entre contas na funcionalidade MCP da Asana afetando cerca de 1.000 clientes, e uma onda de mais de 30 CVEs registrados numa janela de 60 dias no início de 2026 — cerca de 43% deles padrões de injeção de comando. Varreduras independentes mostram que o problema é generalizado, não um punhado de maus atores: uma auditoria de 2026 em 1.808 servidores MCP encontrou achados de segurança em 66% deles, e uma varredura separada em quase 4 mil "skills" de agente de IA encontrou payloads maliciosos confirmados em 76 delas.
O ataque característico do MCP é o envenenamento de ferramenta (tool poisoning): um modelo de IA lê a descrição de uma ferramenta pra decidir se e como chamá-la, e essa descrição pode conter instruções invisíveis na interface mas seguidas pelo modelo mesmo assim — por exemplo, uma descrição de ferramenta que instrui silenciosamente o agente a também ler e exfiltrar chaves SSH junto com sua função declarada. Uma pesquisa testando 20 agentes proeminentes contra esse ataque encontrou modelos seguindo as instruções envenenadas mais de 70% das vezes — e, de forma contraintuitiva, modelos mais capazes e melhores em seguir instruções eram frequentemente mais suscetíveis, não menos.
A OWASP respondeu com uma lista dedicada de Top 10 riscos de MCP, cobrindo categorias como má gestão de tokens, escalonamento de privilégio via scope creep, injeção de comando, envenenamento de ferramenta e adulteração de cadeia de suprimentos/dependências — um sinal de que a superfície de ataque do protocolo já é considerada distinta o suficiente pra precisar do próprio framework de segurança, separado da segurança geral de aplicações web.
6. Empresas respondem: a camada de gateway
A resposta corporativa mais visível tem sido o surgimento de "gateways" MCP — uma camada que fica entre os clientes de IA e os servidores MCP pra centralizar autenticação, aplicar controles de acesso no nível de ferramenta (qual agente pode chamar qual ferramenta), registrar tudo pra auditoria, e impor limites de taxa/custo, em vez de confiar diretamente em cada servidor. A Pinterest publicou um estudo de caso público detalhado desse padrão em produção: servidores MCP específicos de domínio atrás de um registro central, aprovação humana no loop pra operações sensíveis, lidando com cerca de 66 mil chamadas de ferramenta por mês entre 844 usuários e economizando uma estimativa de 7 mil horas de trabalho manual por mês — evidência real de que o padrão escala quando combinado com revisão adequada e infraestrutura de gateway, não só adoção otimista.
No próprio protocolo, a revisão da especificação MCP de julho de 2026 (2026-07-28) removeu o handshake com estado que vinha forçando roteamento fixo e travando o auto-scaling limpo — descrita como a maior revisão do protocolo desde seu lançamento — embora o benefício só se concretize quando clientes, servidores e gateways do ecossistema de fato migrarem pra ela.
7. O que isso significa se você usa servidores MCP
A conclusão prática não é "evite o MCP" — o ecossistema claramente funciona e está escalando pra cargas de trabalho reais em produção. É que a mesma confiança casual que as pessoas dão ao instalar um pacote npm não se sustenta pra servidores MCP, porque as descrições de ferramenta de um servidor são lidas diretamente pelo modelo como instruções. Antes de adicionar um servidor MCP de terceiros numa configuração pessoal ou de time: prefira servidores do registro oficial ou de publicadores conhecidos, verifique ou revise o que as ferramentas de um servidor dizem fazer versus o que elas de fato pedem de acesso, e trate um servidor desconhecido como você trataria uma extensão de navegador desconhecida pedindo permissões amplas — não como trataria uma biblioteca estática sem comportamento próprio em runtime.
Fontes
Pesquisado em 20 de agosto de 2026: