Poche tecnologie riescono a passare da progetto di un singolo produttore a standard di settore in dodici mesi. Il Model Context Protocol ci è riuscito: Anthropic lo ha reso pubblico nel novembre 2024, OpenAI lo ha adottato nel marzo 2025, Google in aprile, Microsoft lo ha integrato in Windows 11 a maggio, e nel dicembre 2025 Anthropic lo ha donato alla Linux Foundation con oltre 10.000 server pubblici attivi e 97 milioni di download mensili dei suoi SDK. Se la vostra azienda sta valutando agenti di Intelligenza Artificiale capaci di fare qualcosa di concreto — consultare il vostro ERP, aggiornare il vostro CRM, leggere i vostri database —, MCP è il tassello infrastrutturale che lo rende possibile. Questa guida spiega cos'è senza scendere nel codice, quali rischi reali comporta (esistono, e con nome preciso) e quando ha senso adottarlo.
Cos'è il Model Context Protocol (MCP)?
Il Model Context Protocol è un protocollo aperto che standardizza il modo in cui le applicazioni di IA si connettono a dati e strumenti esterni — l'equivalente dell'USB-C per l'Intelligenza Artificiale: un connettore universale al posto di un cavo proprietario per ogni dispositivo. Il problema che risolve è aritmetico. Senza uno standard, collegare 10 applicazioni di IA con 20 sistemi aziendali richiede costruire e mantenere 200 integrazioni su misura (N×M); con MCP, ogni applicazione parla il protocollo una volta e ogni sistema espone un "server MCP" una volta: 30 componenti standard (N+M). Per un'azienda, la conseguenza pratica è che il chatbot, il copilota e l'agente che acquistate o sviluppate domani potranno riutilizzare le stesse connessioni ai vostri sistemi, invece di ripartire da zero con ogni fornitore.
Come funziona, senza entrare nel codice
L'architettura si compone di tre elementi. Il host è l'applicazione di IA utilizzata dall'utente (Claude, ChatGPT, un copilota interno). Il host include client MCP che si connettono a server MCP: programmi leggeri che espongono un sistema specifico — il vostro database, il vostro Slack, il vostro ERP — in modo che il modello possa utilizzarlo. Ogni server offre tre cose al modello: strumenti (azioni che può eseguire: "crea fattura", "cerca cliente"), risorse (dati che può leggere: documenti, record) e prompt (modelli di attività predisposti). La comunicazione avviene su un formato standard (JSON-RPC), in locale o in rete. L'analogia aziendale: il server MCP è un dipendente specialista che sa gestire un sistema e risponde alle richieste dell'agente in un linguaggio comune — assumete lo specialista una volta e qualsiasi agente dell'azienda può lavorare con lui.
Da protocollo di Anthropic a infrastruttura neutrale: la cronologia
| Data | Evento |
|---|---|
| Novembre 2024 | Anthropic rilascia MCP come standard aperto |
| Marzo 2025 | OpenAI lo adotta (Agents SDK, ChatGPT) |
| Aprile 2025 | Google DeepMind annuncia il supporto in Gemini; Google lancia A2A (complementare) |
| Maggio 2025 | Microsoft Build: MCP nativo in Windows 11, con registro e requisiti di sicurezza |
| Dicembre 2025 | Anthropic dona MCP alla Linux Foundation (Agentic AI Foundation), con OpenAI e Block come co-fondatori e il supporto di Google, Microsoft e AWS |
| Luglio 2026 | Nuova versione della specifica (28 luglio): nucleo senza stato, MCP Apps, rafforzamento OAuth |
L'evento più rilevante per un'azienda è quello del dicembre 2025: passando a una fondazione neutrale sotto la Linux Foundation, MCP ha smesso di essere "il protocollo di Anthropic" per diventare infrastruttura governata dall'industria — come lo furono Kubernetes o Linux a loro tempo. Traduzione per acquisti e architettura: il rischio di puntare su uno standard controllato da un singolo fornitore è scomparso, e questa stessa settimana viene pubblicata la versione successiva della specifica con la fondazione già al comando.
A cosa serve in azienda?
I pattern già in produzione si raggruppano in tre famiglie. Agenti con accesso ai sistemi interni: un agente di supporto che consulta la cronologia del cliente nel CRM, apre il ticket nello strumento di ITSM e redige la risposta — tre server MCP, un solo agente. Automazione delle operazioni: agenti che preparano report incrociando il database finanziario con i fogli ore, oppure che gestiscono l'inventario interfacciandosi con l'ERP. Produttività del team tecnico e di business: i oltre 10.000 server pubblici includono connettori per GitHub, Slack, Stripe, database SQL o storage in cloud, pronti all'uso. Il caso aziendale più citato è quello di Block (la holding di Square e Cash App): il suo agente interno opera con circa 60 server MCP proprietari per 12.000 dipendenti, con risparmi — dichiarati dalla stessa azienda — del 50-75% nelle attività di routine. La lezione trasferibile non è la cifra, ma l'architettura: pochi agenti, molti connettori standard riutilizzabili.
I rischi da conoscere prima di connettere qualsiasi cosa
MCP collega la vostra IA ai vostri sistemi, e questo trasforma ogni connessione in una superficie di attacco. I rischi hanno un nome e ricerche serie alle spalle. Il tool poisoning (Invariant Labs, 2025; oggi categoria propria nell'OWASP Top 10 di MCP): un server malevolo nasconde istruzioni nelle descrizioni dei suoi strumenti per manipolare il modello. Il line jumping (Trail of Bits, 2025): questa manipolazione agisce prima che venga invocato qualsiasi strumento — il semplice fatto di avere connesso un server malevolo contamina già la conversazione, aggirando l'approvazione umana. E i rug pulls: un server legittimo che cambia comportamento dopo aver guadagnato la fiducia. Le difese che nel 2026 sono già pratica standard: lista bianca di server approvati (rifiuto per impostazione predefinita), gateway MCP centralizzato che controlla tutto il traffico degli agenti, identità con OAuth e permessi minimi per strumento, e approvazione umana obbligatoria per azioni distruttive. Se i vostri agenti trattano dati regolamentati, ricordate inoltre che gli obblighi ad alto rischio dell'AI Act europeo sono applicabili dal 2 agosto 2026 — il gateway e i suoi registri di audit sono esattamente il tipo di controllo che vi verrà richiesto.
I limiti onesti: quando MCP non è la risposta
Due sfumature che l'entusiasmo tende a omettere. Prima, il costo di contesto: ogni strumento connesso descrive il proprio schema al modello, e 20-30 strumenti possono consumare 15-30 KB di contesto prima del primo messaggio dell'utente — più strumenti non significa sempre un agente migliore; significa più costi e più distrazione per il modello. Anthropic stessa propone come mitigazione che gli agenti eseguano codice contro le API invece di invocare direttamente decine di strumenti MCP. Seconda, non tutto richiede un agente: se il flusso è deterministico — ogni giorno, stesso report, stessi passaggi —, un'automazione classica (RPA, script, integrazioni native) è più economica, più rapida e più prevedibile. MCP brilla quando ci sono decisioni e linguaggio naturale nel mezzo; non sostituisce l'integrazione tradizionale, la complementa.
MCP e A2A: la mappa degli standard nell'era degli agenti
La domanda ricorrente: MCP e A2A sono in competizione? No — si dividono il lavoro. MCP collega un agente a strumenti e dati (verticale); A2A collega agenti tra loro (orizzontale), e dall'aprile 2026 dispone di una versione stabile con oltre 150 organizzazioni alle spalle, anch'essa sotto la Linux Foundation. In un'architettura aziendale matura coesisteranno: i vostri agenti useranno MCP con i vostri sistemi e A2A tra loro. Per una PMI, la priorità chiara nel 2026 è MCP — è ciò che rende utile il primo agente; A2A arriva quando se ne hanno diversi.
Come iniziare con MCP in azienda
"L'errore che vediamo è partire dal catalogo: connettere venti server MCP perché esistono. Un buon deployment parte al contrario — un caso d'uso, un agente, i due o tre sistemi che quel caso richiede, e un gateway con lista bianca dal primo giorno. La sicurezza non si aggiunge dopo: fa parte del design", osserva Alfons Marques, fondatore di Technova Partners.
I passi che raccomandiamo:
- Scegliete un caso d'uso con un ritorno misurabile (supporto, back-office, report) e individuate i 2-3 sistemi necessari.
- Preferite server ufficiali o costruite i vostri per i sistemi critici; nessun server di origine dubbia, per quanto comodi.
- Governate fin dall'inizio: lista bianca, gateway con registro di audit, permessi minimi e approvazione umana per azioni irreversibili.
- Misurate e scalate: se il primo agente dimostra valore, ogni connettore MCP che costruite viene riutilizzato nel successivo — quella curva di riutilizzo è dove lo standard ripaga. Il nostro team di agenti IA per imprese progetta esattamente questo tipo di architetture, dal caso d'uso al gateway.
Se prima volete comprendere la tecnologia di base, la nostra guida su cos'è un LLM spiega il motore che sta alla base di ogni agente.
Avete chiaro il caso d'uso ma non l'architettura? Diteci quali sistemi volete connettere e vi proponiamo un design con sicurezza dal primo giorno.
Conclusione
Il Model Context Protocol ha risolto il problema che frenava gli agenti di IA in azienda — il costo N×M delle integrazioni — e in un anno è diventato lo standard de facto dell'intero settore, oggi governato da una fondazione neutrale con oltre 10.000 server pubblici. Per un'azienda italiana, il messaggio è duplice: l'infrastruttura è ormai abbastanza matura e neutrale per costruirci sopra, e i rischi — tool poisoning, line jumping — sono reali ma gestibili con lista bianca, gateway e permessi minimi. Iniziate da un caso d'uso, non dal catalogo; connettete poco e bene; e lasciate che il riutilizzo dei connettori faccia il resto.
Domande frequenti sul Model Context Protocol
Cos'è MCP in poche parole?
È un protocollo aperto — creato da Anthropic nel 2024 e governato dalla Linux Foundation dal dicembre 2025 — che standardizza il modo in cui le applicazioni di IA si connettono a dati e strumenti esterni. Funziona come un connettore universale: ogni sistema espone un "server MCP" una volta e qualsiasi agente compatibile può utilizzarlo, eliminando le integrazioni su misura per ogni coppia applicazione-sistema.
MCP è solo di Anthropic o funziona anche con ChatGPT e Gemini?
È di tutto il settore. OpenAI lo ha adottato nel marzo 2025, Google DeepMind in aprile e Microsoft lo ha integrato in Windows 11 nel maggio 2025. Nel dicembre 2025 Anthropic ha donato il protocollo all'Agentic AI Foundation della Linux Foundation, con OpenAI come co-fondatore e il supporto di Google, Microsoft e AWS. I connettori MCP che costruite funzionano con gli agenti di tutti questi ecosistemi.
È sicuro connettere i miei sistemi a un agente IA tramite MCP?
Può esserlo, con le difese corrette. I rischi documentati — tool poisoning, line jumping, rug pulls — provengono soprattutto dalla connessione di server MCP di terze parti non verificati. La pratica standard nel 2026: lista bianca di server approvati, gateway centralizzato con registro di audit, permessi minimi per strumento tramite OAuth e approvazione umana per azioni distruttive. Con agenti su dati regolamentati, questi controlli vi allineano inoltre agli obblighi dell'AI Act applicabili dall'agosto 2026.
Quando NON conviene usare MCP?
Quando il flusso è completamente deterministico — lo stesso report, gli stessi passaggi, ogni giorno — un'automazione classica o un'integrazione nativa è più economica e prevedibile. Attenzione anche all'eccesso: ogni strumento connesso consuma contesto del modello (20-30 strumenti possono pesare 15-30 KB prima di iniziare), quindi connettere l'intero catalogo peggiora l'agente invece di migliorarlo. MCP apporta valore quando nel flusso ci sono decisioni e linguaggio naturale.
