MCP : la prise universelle qui connecte les IA à vos outils

Une prise, pas un modèle de plus

À chaque annonce de modèle, la discussion tourne autour du modèle lui-même : ses benchmarks, son prix, sa fenêtre de contexte. Mais quand un agent lit un dépôt GitHub, consulte un agenda ou répond dans Slack à la place d'un humain, il y a une plomberie derrière ce geste, invisible et pourtant décisive. Cette plomberie a un nom depuis novembre 2024 : le Model Context Protocol, MCP pour les intimes.

Anthropic l'a présenté comme « l'USB-C de l'IA » : un connecteur unique là où chaque paire assistant-outil demandait auparavant son câble sur mesure. L'image a fait mouche. En un peu moins de deux ans, MCP s'est imposé comme le standard de facto pour brancher un modèle de langage sur le monde réel, au point d'être repris par des concurrents directs d'Anthropic.

Cette réussite a un revers. Plus un protocole se répand, plus il devient une cible : en 2026, les chercheurs en sécurité et la NSA elle-même ont commencé à documenter des failles sérieuses dans son écosystème. Ce qui suit explique comment MCP fonctionne concrètement, ce que disent vraiment les chiffres d'adoption, ce qui change dans sa nouvelle version publiée fin juillet, et pourquoi sa sécurité reste le point faible du tableau.

Comment un agent se branche sur vos outils

MCP distingue deux rôles. Un serveur MCP expose des données ou des actions selon un vocabulaire commun : quels outils sont disponibles, quelles ressources on peut lire, quels modèles de prompt sont proposés. Un client MCP, c'est-à-dire l'application qui héberge le modèle, Claude Desktop, ChatGPT, Cursor ou VS Code, se connecte à un ou plusieurs de ces serveurs et laisse le modèle décider quand les utiliser.

Avant MCP, chaque éditeur d'assistant devait écrire une intégration spécifique pour chaque outil externe : une pour Gmail, une autre pour GitHub, une autre encore pour Slack, multipliée par chaque assistant qui voulait s'y connecter. Avec un protocole commun, un développeur qui construit un serveur pour son produit n'a besoin de l'écrire qu'une fois : n'importe quel client compatible peut ensuite s'y brancher, sans code supplémentaire de son côté.

En pratique, ça donne des connecteurs comme ceux-ci, déjà courants dans l'écosystème :

• 01Gmail : lire et rédiger des messages sans copier-coller
• 02GitHub : lire un dépôt, ouvrir une pull request
• 03Google Drive ou Notion : chercher un document interne
• 04Slack : lire un canal, poster un message

Un standard qui a dépassé son créateur

Le 9 décembre 2025, Anthropic a publié un premier bilan chiffré de l'écosystème : plus de 10 000 serveurs MCP publics actifs, et 97 millions de téléchargements mensuels cumulés de ses kits de développement Python et TypeScript. Le même jour, l'entreprise a posé un geste qui en dit long sur ses intentions : MCP a rejoint l'Agentic AI Foundation, une structure hébergée par la Linux Foundation et cofondée par Anthropic, Block et OpenAI, avec le soutien de Google, Microsoft, AWS, Cloudflare et Bloomberg. Le protocole n'appartient donc plus à son seul créateur : son comité de pilotage réunit désormais des représentants d'Anthropic, OpenAI, Microsoft, Google et Amazon.

L'écosystème ouvert suit la même courbe. Au 24 mai 2026, une recherche sur GitHub remontait 15 926 dépôts portant l'étiquette « mcp-server », et le dépôt de référence modelcontextprotocol/servers affichait 86 148 étoiles. Le registre officiel, plus sélectif, comptait ce même jour 9 652 serveurs recensés : l'écart entre les deux chiffres montre qu'une bonne partie des serveurs qui circulent ne passent jamais par une inscription centrale.

Ces chiffres de croissance méritent toutefois d'être lus avec la même prudence qui s'applique à toute statistique d'adoption en IA. Une étude Stacklok publiée en 2026 donne un tableau plus contrasté du côté des entreprises : 41 % des organisations interrogées ont un déploiement MCP en production (29 % de façon limitée, 12 % à large échelle), 30 % restent au stade pilote et 29 % en sont encore à la planification. Un chiffre antérieur, largement repris, qui évoquait 78 % des équipes IA d'entreprise utilisant déjà MCP, a fini par être retiré de la circulation faute de source vérifiable, un rappel utile que l'engouement autour d'un standard ne se mesure pas toujours avec la même rigueur que le standard lui-même.

Un chiffre largement repris, qui évoquait 78 % des équipes IA d'entreprise utilisant déjà MCP, a fini par être retiré faute de source vérifiable.

Le protocole change d'architecture le 28 juillet 2026

Le 28 juillet 2026, l'Agentic AI Foundation a publié la version finalisée de la nouvelle spécification MCP, en préparation depuis plusieurs mois sous forme de candidate. David Soria Parra, l'un des mainteneurs du projet, l'a qualifiée de mise à jour la plus importante depuis le lancement de MCP à distance.

Le changement le plus profond touche la couche transport : le protocole devient sans état. L'en-tête d'identifiant de session et la notion de connexion persistante disparaissent, ce qui veut dire qu'une requête peut désormais être traitée par n'importe quelle instance d'un serveur, derrière un simple répartiteur de charge, sur une infrastructure Kubernetes classique, sans routage collant ni état partagé à synchroniser.

Autour de ce socle, la nouvelle version ajoute un cadre d'extensions, un mécanisme de tâches qui transforme les opérations longues en requêtes asynchrones identifiées par un jeton, capables de survivre à un plantage du client sans exiger une connexion ouverte en continu, et une brique dédiée aux applications MCP. Côté entreprise, l'extension d'autorisation gérée de façon centralisée passe au statut stable : une organisation peut désormais piloter l'accès à tous ses serveurs MCP depuis son fournisseur d'identité, plutôt que de configurer chaque serveur séparément. Une politique de dépréciation formelle accompagne le tout, avec un minimum de douze mois garantis entre l'annonce du retrait d'une fonctionnalité et sa suppression effective, une première pour un protocole qui avançait vite depuis son lancement.

La sécurité profite aussi de ce chantier : la proposition SEP 2468, intégrée à cette version, impose de vérifier le paramètre d'émetteur dans les réponses d'autorisation, ce qui ferme une attaque connue où un client pouvait être trompé et envoyer son jeton d'accès au mauvais serveur.

Le revers : une sécurité qui peine à suivre le rythme

Le 20 mai 2026, la NSA américaine a publié sa première note de sécurité consacrée à MCP. Le message est sans ambiguïté : l'adoption du protocole a dépassé la mise en place de garde-fous suffisants, et expose les organisations à des risques que ses propres concepteurs n'avaient pas pleinement anticipés. L'agence pointe des actions automatisées mal contrôlées, une absence de filtrage suffisant sur les données qui transitent entre systèmes, une vulnérabilité aux attaques par saturation, des réponses d'outils capables de transporter une charge malveillante, et une isolation des privilèges insuffisante quand un même agent touche plusieurs serveurs à la fois.

Les chiffres donnent du poids à cet avertissement. Entre janvier et avril 2026, des chercheurs ont publié plus de 40 CVE visant des implémentations de MCP, dans les kits Python, TypeScript, Java et Rust, soit environ une faille déposée tous les quatre jours. En avril, la société OX Security a révélé un défaut systémique dans les kits de référence d'Anthropic eux-mêmes : le transport STDIO transmet la configuration reçue directement au shell du système hôte, sans validation ni nettoyage, ce qui ouvre la voie à de l'exécution de commande arbitraire. OX Security a estimé à environ 200 000 le nombre d'instances vulnérables, sur une chaîne d'approvisionnement qui cumule 150 millions de téléchargements, touchant 9 des 11 places de marché de serveurs MCP qu'elle a vérifiées.

Une enquête plus large, portant sur 2 614 implémentations, a trouvé que 82 % d'entre elles restaient vulnérables à une attaque par traversée de répertoire, et 67 % présentaient un risque d'injection. Sur l'ensemble des failles répertoriées, l'injection shell ou l'exécution de code représentait 43 % des cas, des défauts dans l'infrastructure d'outillage 20 %, le contournement d'authentification 13 %, la traversée de répertoire 10 %, le reste se répartissant entre attaques SSRF et failles de chaîne d'approvisionnement.

Une autre catégorie d'attaque touche directement la confiance qu'un agent accorde à un serveur : l'empoisonnement d'outil. La description d'un outil n'est vérifiée qu'une fois, au moment de la connexion ; sa réponse, elle, entre ensuite dans le contexte du modèle sans contrôle équivalent, ce qui laisse la porte ouverte à des instructions cachées. En avril 2026, des chercheurs ont ainsi détourné Claude Code, Gemini CLI et GitHub Copilot en glissant des instructions malveillantes dans le titre de pull requests GitHub : les agents connectés via MCP ont lu ce titre, l'ont traité comme une consigne légitime, et ont exfiltré des secrets de GitHub Actions.

La description d'un outil n'est vérifiée qu'une fois, à la connexion. Sa réponse entre ensuite dans le contexte du modèle sans contrôle équivalent.

Que retenir avant de brancher un serveur MCP

Pour un usage personnel, le risque reste contenu : brancher Claude Desktop ou un autre client sur ses propres comptes Gmail ou Drive via un connecteur officiel ou largement vérifié n'a rien de comparable à l'exposition d'une entreprise entière. Le réflexe simple reste de lire ce qu'un connecteur demande comme accès avant de l'accepter, plutôt que de valider par habitude.

Pour une organisation qui branche MCP sur des systèmes financiers, juridiques ou de développement, les recommandations de la NSA sont sans détour : traiter par défaut tout serveur tiers comme non fiable, filtrer ce qui sort du réseau via un proxy dédié, surveiller le comportement des agents en continu, et migrer vers la nouvelle spécification sans état et son autorisation centralisée plutôt que de rester sur l'ancienne par simple inertie. La fenêtre de douze mois avant suppression d'une fonctionnalité donne du temps pour cette migration, elle ne dispense pas de la faire.

MCP a gagné parce qu'il a réglé un vrai problème : la multiplication d'intégrations sur mesure qui freinait tout assistant voulant sortir de sa fenêtre de conversation. Mais l'ouverture qui en fait un connecteur universel est exactement ce qui en fait une surface d'attaque large : n'importe qui peut publier un serveur, et un client fait confiance par défaut à ce que ce serveur dit de lui-même. La sécurité du protocole progresse, version après version, CVE après CVE. En attendant qu'elle rattrape complètement son adoption, la bonne posture reste de traiter chaque connecteur tiers comme une extension de navigateur : utile, mais à vérifier avant de lui donner les clés.