Server MCP: cosa sono e come funziona il Model Context Protocol

MCP serve quando un’app di IA deve lavorare con i tuoi strumenti e dati; non è necessario per il semplice utilizzo dell’IA. Per capire che cos’è, partiamo da 3 elementi: l’app che usi, il componente che gestisce la connessione e un server MCP che espone funzionalità selezionate. Questa struttura rende le integrazioni riutilizzabili, mentre le interfacce software esistenti (API) e i relativi permessi continuano a svolgere il lavoro sottostante.

Che cos’è MCP nell’intelligenza artificiale?

Il Model Context Protocol (MCP) è uno standard aperto che collega le applicazioni di IA a strumenti e dati. Offre alle applicazioni compatibili un modo condiviso per scoprire le funzionalità disponibili, richiedere informazioni ed eseguire azioni. L’introduzione ufficiale a MCP descrive il collegamento a sistemi esterni come file, database e strumenti.

Per chi fonda un’azienda, il vantaggio è concreto: un assistente può lavorare sulle informazioni presenti nei sistemi aziendali, senza dipendere da ciò che viene incollato nella chat. Per chi sviluppa, il vantaggio è il riuso: si espone una funzionalità tramite un server MCP e si collegano le applicazioni di IA compatibili a quell’interfaccia.

Immagina di chiedere a un assistente di preparare un riepilogo su un cliente. Un’integrazione potrebbe recuperare la sua scheda e le richieste di assistenza recenti, per poi restituirle all’assistente affinché le riassuma. MCP fornisce il formato comune di connessione. Qualcuno deve comunque implementare queste operazioni, autorizzare l’accesso e verificare che il risultato sia utile.

MCP è un’infrastruttura. Non sostituisce il modello di IA, l’applicazione che conserva i dati o la persona responsabile di concedere l’accesso.

Chi gestisce oggi il progetto MCP?

MCP è mantenuto dai responsabili del suo progetto open source, sotto l’egida dell’Agentic AI Foundation (AAIF), che fa parte della Linux Foundation. Anthropic ha creato il protocollo e ne ha annunciato la donazione alla fondazione il 9 dicembre 2025. La fondazione offre una sede istituzionale neutrale; il progetto mantiene il controllo sulla propria direzione tecnica. Leggi l’annuncio del progetto.

Alla verifica del 13 ottobre 2026, la pagina sulla governance di MCP indica David Soria Parra e Den Delimarsky come Lead Maintainer. Lead Maintainer, Core Maintainer e Maintainer compongono l’MCP Steering Group. I membri partecipano a titolo individuale: non ci sono seggi riservati alle aziende.

È un aspetto rilevante per chi valuta il rischio di dipendenza da un fornitore: usare MCP non vincola alle applicazioni di IA di Anthropic. Questo, però, non significa che la fondazione mantenga o approvi ogni server di terze parti che adotta lo standard. La governance del protocollo e l’affidabilità di una specifica integrazione sono questioni distinte.

Come funziona MCP: host, client e server

L’host è l’applicazione che usi; al suo interno, un client comunica con un server che espone le funzionalità. Sono ruoli software, non macchine separate da acquistare. L’architettura ufficiale prevede che l’host crei un client per ciascun server a cui si collega.

L’host: l’applicazione di IA

L’host coordina l’esperienza: la conversazione, il modello e le connessioni disponibili. Puoi immaginarlo come l’ufficio in cui lavori. Le sue impostazioni e regole contribuiscono a stabilire quali strumenti sono disponibili e quando viene richiesta un’approvazione.

Che cos’è un client MCP?

Un client MCP è il componente che gestisce la connessione all’interno dell’host. Comunica con uno specifico server usando il protocollo. In genere si configura dall’app, senza installare un prodotto «client» separato.

Questa distinzione evita un errore comune nei diagrammi: il client sta dentro l’host. Il modello linguistico non è, di per sé, la connessione di rete.

Che cos’è un server MCP?

Un server MCP è un programma che espone funzionalità selezionate tramite MCP. «Server» ne descrive il ruolo: può essere un processo in esecuzione sul portatile oppure un servizio ospitato altrove.

Nell’esempio del riepilogo sul cliente, potrebbe offrire una ricerca con un perimetro di accesso ben delimitato. Il server implementa la ricerca e restituisce i risultati; l’host li inserisce nel lavoro dell’IA. Non è necessario esporre l’intero database dei clienti.

Che cosa espone un server: strumenti, risorse e prompt

I server possono esporre 3 tipi di funzionalità. Non devono necessariamente implementarli tutti, e l’host deve supportare quelli che intendi usare. La documentazione sulle funzionalità dei server li distingue così:

Uno strumento può leggere informazioni oltre che modificarle. Un’operazione di ricerca resta uno strumento anche se non scrive nulla. Una risorsa fornisce informazioni di contesto accessibili; un prompt è un modo riutilizzabile per avviare un’attività.

Per chi sviluppa, la distinzione fondamentale è tra scoprire un’operazione ed eseguirla: tools/list espone le definizioni degli strumenti disponibili, mentre tools/call ne richiama uno. Descrizioni chiare e vincoli sui dati in ingresso aiutano l’host a scegliere l’operazione corretta. Non sostituiscono i controlli di accesso nell’applicazione.

MCP vs API: che cosa cambia?

MCP non sostituisce le API. Spesso un server MCP le espone attraverso un’interfaccia comune. Un’API, o interfaccia di programmazione delle applicazioni, permette a un software di richiedere dati o azioni a un altro sistema. MCP offre alle applicazioni di IA compatibili un modo comune per scoprire e usare le funzionalità costruite su quelle interfacce.

MCP e API: seguiamo il percorso di una richiesta

Prendiamo la ricerca di un cliente. Con un’integrazione diretta, l’applicazione di IA ha bisogno della definizione di uno strumento e del codice che chiama l’API del sistema clienti. Con MCP, il server può fornire quella definizione ed eseguire la chiamata API. La lezione di Anthropic su MCP descrive questo schema di integrazione.

La richiesta arriva comunque al sistema clienti. Le sue regole di autorizzazione, i limiti di utilizzo e la logica aziendale continuano a contare. È stata standardizzata l’interfaccia verso l’IA, ma la dipendenza sottostante rimane.

Un server MCP può anche lavorare direttamente con file locali o con un database. Fare da interfaccia a un’API è quindi un’implementazione comune, non un requisito.

Quando conviene MCP e quando basta un’API?

Usa MCP se l’obiettivo è rendere l’accesso riutilizzabile da applicazioni di IA compatibili. Scegli un’API diretta se il flusso di lavoro è già definito e l’interfaccia aggiuntiva offre pochi vantaggi.

Un processo pianificato che copia i dati delle fatture approvate in un software contabile può risultare più chiaro se realizzato con normale codice applicativo. Dati in ingresso, destinazione e sequenza sono già noti. Un assistente conversazionale che deve scegliere tra ricerca di clienti, ricerca di documenti e creazione di attività ha invece più motivi per usare strumenti che può scoprire durante il lavoro.

Se sviluppi un prodotto, chiediti chi userà l’integrazione. Se i clienti vogliono accedere al tuo servizio dalle app di IA che già utilizzano, un server MCP può essere un’interfaccia utile per distribuirlo. Se l’operazione viene richiamata soltanto dal tuo backend, possono bastare una funzione diretta o un’API.

MCP e RAG: quale differenza c’è?

La generazione aumentata dal recupero di informazioni (RAG) fornisce a un modello informazioni recuperate da una fonte; MCP fornisce un protocollo di connessione. L’articolo originale sulla RAG descrive una generazione basata su materiale recuperato.

Puoi esporre il recupero di documenti come strumento MCP. Il sistema di ricerca deve comunque trovare passaggi utili, rispettare i permessi sui documenti e restituire un contesto sufficiente. Aggiungere MCP non migliora automaticamente la qualità del recupero delle informazioni.

A che cosa serve MCP nell’IA agentica?

MCP può dare a un agente accesso agli strumenti, ma non ne decide il piano d’azione. Un agente è un software che usa un modello per scegliere le azioni con cui svolgere un compito. L’architettura di MCP lascia esplicitamente all’applicazione l’uso del modello e la gestione del contesto.

Per preparare un riepilogo su un cliente, l’agente potrebbe decidere di recuperare prima la sua scheda e poi cercare le richieste di assistenza. Il protocollo trasporta le richieste. L’applicazione resta responsabile del flusso di lavoro, dei controlli e della gestione degli errori.

Server MCP locali e remoti: che cosa cambia?

«Locale» e «remoto» indicano dove viene eseguito il server. Non dicono dove rimangono tutti i dati. I trasporti standard di MCP comprendono stdio, per la comunicazione tra processi sulla stessa macchina, e Streamable HTTP, per la comunicazione via HTTP, comunemente usata con i server remoti. Panoramica dei trasporti MCP.

Un server locale viene di solito avviato con un comando sulla macchina che esegue il client. È una soluzione adatta a chi sviluppa lavorando su file locali, ma comporta la responsabilità del programma installato e dei suoi permessi di esecuzione.

Un server remoto si raggiunge tramite un indirizzo di rete. Può semplificare la gestione di un servizio condiviso in azienda, ma introduce dipendenze dall’hosting, dall’autenticazione e dalla disponibilità del servizio. HTTP può essere usato anche in locale: la sigla, da sola, non implica il passaggio sulla rete Internet pubblica.

Un server eseguito in locale può chiamare un’API esterna, e il suo output può finire in una conversazione con un’IA nel cloud. Viceversa, un server remoto può applicare permessi molto restrittivi. Valuta l’intero percorso: dalla fonte dei dati al server, fino all’app di IA.

Che cos’è un connettore MCP?

«Connettore» è spesso il nome con cui un’integrazione viene presentata nel prodotto. Non è un ruolo architetturale aggiuntivo rispetto a host, client e server. Per esempio, Claude chiama le proprie integrazioni MCP remote connettori personalizzati, mentre la documentazione attuale di ChatGPT presenta l’accesso MCP attraverso i plugin. Segui il percorso di connessione supportato dall’app specifica.

Quali app supportano MCP oggi?

Claude, ChatGPT, Cursor, Visual Studio Code e Codex documentano tutti il supporto a MCP. Le verifiche che seguono sono state effettuate sulle pagine dei rispettivi produttori il 13 ottobre 2026. Confermano le funzionalità documentate: non sono test pratici di compatibilità con ogni server, né garantiscono che tutti gli account abbiano lo stesso accesso.

Claude

Claude, l’assistente di IA di Anthropic, supporta connettori MCP remoti personalizzati e server locali tramite le estensioni di Claude Desktop. La documentazione sui connettori remoti elenca il supporto nei piani Free, Pro, Max, Team ed Enterprise, con 1 connettore personalizzato nel piano Free e controlli organizzativi nei piani aziendali.

Il limite da considerare è la raggiungibilità in rete: le richieste dei connettori remoti partono dal cloud di Anthropic, anche quando si usa l’app desktop. Un server raggiungibile soltanto dal portatile non diventa automaticamente accessibile a quel connettore. Il percorso separato per le estensioni locali dell’app desktop parte da Settings > Extensions.

ChatGPT

ChatGPT, l’applicazione di IA di OpenAI, supporta strumenti basati su MCP attraverso i plugin. La guida rapida attuale di OpenAI mostra come collegare un server personalizzato da ChatGPT Plugins, installare il plugin risultante e richiamarlo in ChatGPT Work sul web. Un’interfaccia visiva personalizzata è facoltativa.

Per la configurazione, segui il percorso documentato per quel prodotto. Un comando locale copiato dalla configurazione di un’altra app non equivale all’aggiunta dell’URL di un server ospitato, e il solo supporto al protocollo non determina i permessi del tuo spazio di lavoro.

Cursor

Cursor, l’editor di codice con IA, supporta server locali stdio e connessioni remote tramite Streamable HTTP o Server-Sent Events (SSE). La sua documentazione MCP elenca anche strumenti, risorse e prompt, con configurazione in .cursor/mcp.json per il singolo progetto oppure in ~/.cursor/mcp.json a livello globale.

Per impostazione predefinita, Cursor chiede l’approvazione prima di usare gli strumenti MCP. Abilita quelli pertinenti al progetto: rendere una funzionalità individuabile è utile solo se descrizioni, permessi e risultati sono adatti al compito.

VS Code

Microsoft Visual Studio Code (VS Code), l’editor di codice, supporta gli strumenti MCP nelle funzionalità del suo agente IA, insieme a risorse, prompt e app interattive. La documentazione di Microsoft sulla configurazione mette a disposizione il comando MCP: Add Server e raccomanda posizioni che consentano configurazioni portabili per i nuovi server.

Esamina la configurazione MCP di un repository prima di considerare attendibile lo spazio di lavoro. La documentazione attuale di Microsoft afferma che i server MCP dello spazio di lavoro ereditano Workspace Trust e possono avviarsi senza una richiesta separata di attendibilità del server. È un passaggio rilevante quando si installa codice eseguibile in locale.

Codex

Codex, l’agente di programmazione di OpenAI, supporta server locali STDIO e server Streamable HTTP nell’interfaccia a riga di comando e nell’estensione per l’editor di codice. La documentazione MCP del produttore descrive una configurazione condivisa in ~/.codex/config.toml, con autenticazione tramite bearer token e OAuth per i server HTTP. OAuth consente di concedere l’accesso attraverso una procedura di autorizzazione, senza consegnare all’integrazione la password del proprio account.

Codex documenta anche elenchi di strumenti consentiti e vietati. Usa questi controlli per esporre le operazioni necessarie al flusso di lavoro: riuscire a stabilire una connessione è soltanto il primo passo per decidere che cosa le sarà permesso fare.

Quanto costa MCP e quando conviene?

Non esiste un prezzo unico di abbonamento mensile a MCP. Nel budget vanno inclusi l’app o il modello di IA, l’hosting del server o il canone del servizio gestito, il software a cui ci si collega e la manutenzione. Un protocollo aperto non rende gratuite queste componenti.

Un esempio concreto di come vengono addebitati i costi: OpenAI dichiara che la sua Responses API fattura i token usati per importare le definizioni MCP o effettuare chiamate, senza costi aggiuntivi per ogni chiamata a uno strumento MCP. La dichiarazione vale per quell’API; non elimina eventuali addebiti del fornitore del server. La spiegazione di OpenAI sulla fatturazione MCP.

Il calcolo delle integrazioni e le ipotesi su cui si basa

Supponiamo che 3 app di IA debbano collegarsi ciascuna a 4 sistemi aziendali. Scrivere un adattatore separato per ogni coppia comporta 3 × 4 = 12 interfacce. In un’architettura ideale basata su uno standard condiviso, si hanno 3 implementazioni lato host + 4 implementazioni lato server = 7 interfacce.

Sono 5 implementazioni di interfacce in meno, non un risparmio misurato in ore di sviluppo. L’esempio presuppone che ogni collegamento sia necessario e che le funzionalità richieste siano interoperabili. Autenticazione, permessi, test e logica specifica del servizio restano da gestire. Se le app di IA supportano già MCP, la parte host potrebbe essere già pronta: il lavoro si concentra sui server e sulla messa in esercizio.

Per un’app che chiama un solo servizio, un’integrazione diretta può essere più semplice. È il riuso a rendere interessante il livello aggiuntivo.

Sicurezza MCP: che cosa verificare prima di collegare un server

Una connessione MCP inserisce un altro programma nel flusso di lavoro dell’IA. Valuta separatamente l’affidabilità di chi lo pubblica, i permessi e i contenuti restituiti. Lo standard, da solo, non può certificarli.

La prompt injection è un’istruzione nascosta in un contenuto che il modello dovrebbe trattare come dato. Per esempio, una richiesta di assistenza recuperata potrebbe contenere un testo che ordina all’assistente di ignorare il compito e inviare altrove un’esportazione dei dati del cliente. Il pericolo nasce quando l’assistente attribuisce autorità a quell’output e usa un’altra funzionalità disponibile per eseguire l’istruzione.

Le indicazioni di OpenAI sulla sicurezza MCP avvertono esplicitamente dei rischi legati a istruzioni nascoste in contenuti malevoli forniti dal server, all’esposizione di dati sensibili e ai cambiamenti nel comportamento del server. Anche un server attendibile può recuperare un documento non attendibile. Le istruzioni del documento non devono acquisire l’autorità dell’utente che ne ha chiesto un riepilogo.

Prima di installare o autorizzare un server, verifica questi aspetti:

• Chi lo pubblica e dove invia i dati. Parti dalla documentazione del produttore del servizio per trovare il pacchetto o l’indirizzo del server. Accerta chi gestisce eventuali intermediari di terze parti e quali dati conservano.
• Esecuzione locale. Leggi il comando, gli argomenti e gli accessi richiesti al file system. Installare un server locale può eseguire codice con i permessi del suo processo: «locale» non garantisce l’isolamento in una sandbox.
• Perimetro dell’account. Inizia con un account limitato e con l’accesso al minimo insieme di dati utile. Un prompt che dice «usa solo i dati di questo cliente» offre meno garanzie di un permesso nel backend che impone quel limite.
• Azioni disponibili. Per la sperimentazione, preferisci operazioni di sola lettura. Richiedi una revisione prima delle scritture o esportazioni con effetti rilevanti e controlla la destinazione e gli argomenti effettivi.
• Aggiornamenti e revoca. Identifica un responsabile, esamina le modifiche e verifica come disabilitare il server e revocarne le credenziali. Un pulsante di disinstallazione funzionante non dimostra che sia stato revocato anche un token del servizio collegato.

Chi sviluppa deve applicare i controlli di autorizzazione nel server e nel sistema sottostante. Le buone pratiche di sicurezza di MCP escludono il token passthrough: accettare un token destinato a un altro servizio e inoltrarlo senza modificarlo non è una progettazione corretta dell’autorizzazione.

Chi gestisce le attività operative dovrebbe partire da una raccolta di documenti non sensibili e verificare i riscontri restituiti prima di collegare sistemi sensibili. La sola lettura riduce la possibilità di modificare il sistema di origine, ma non impedisce di recuperare materiale sensibile o condividerlo altrove. Tieni fuori dalla stessa sperimentazione gli strumenti potenti che non servono al compito.

Quali promesse su MCP sono esagerate?

Un protocollo condiviso riduce le differenze tra le integrazioni. Non le rende tutte affidabili, sicure o intercambiabili. «Supporta MCP» lascia aperte diverse domande: quale trasporto, quali funzionalità, con le credenziali di chi, in quale ambiente di esecuzione e con quali approvazioni?

Allo stesso modo, installare più server non è una strategia di adozione. Uno strumento descritto male può essere scelto per il compito sbagliato. Credenziali con permessi troppo ampi possono esporre troppi dati. L’indisponibilità di un servizio sottostante può comunque bloccare il flusso di lavoro.

La promessa utile è più circoscritta: host e server compatibili possono riutilizzare un’interfaccia. Servono comunque un compito definito, un responsabile e un modo per riconoscere un risultato sbagliato. Misura il lavoro completato e verificato, non le dimensioni del catalogo degli strumenti.

Chi dovrebbe adottarlo, aspettare o lasciare tutto com’è?

Chi fonda un’azienda dovrebbe intervenire quando il continuo copia e incolla o gli accessi frammentati ostacolano un flusso di lavoro di valore. Scegli quel flusso prima dell’infrastruttura. Se un’integrazione già approvata svolge il compito, aggiungere un altro livello non offre un vantaggio automatico.

Chi gestisce le attività operative dovrebbe avviare una sperimentazione quando la fonte delle informazioni e i limiti dei permessi sono chiari. Rimanda l’adozione estesa se nessuno è responsabile delle credenziali, della revoca o della revisione delle azioni con conseguenze rilevanti. Sono decisioni operative che il protocollo non può prendere al tuo posto.

Chi sviluppa dovrebbe aggiungere MCP quando più host compatibili hanno bisogno della stessa funzionalità, oppure quando i clienti chiedono esplicitamente di accedervi dalle proprie app di IA. Lascia com’è un’automazione affidabile con un flusso API prestabilito, a meno di saper indicare un vantaggio concreto di riuso o di prodotto.

Per decidere il prossimo passo di implementazione, consulta la lista dei migliori server MCP per trovare un’integrazione esistente, la guida ai server MCP in Python se devi esporre una tua funzionalità, oppure la guida ai gateway MCP quando i controlli di accesso condivisi diventano un’esigenza operativa.

Da dove iniziare lunedì

Sperimenta una singola operazione di lettura, con un perimetro preciso, nell’app di IA che usi già. Per esempio, recupera una scheda cliente autorizzata e confrontane il contenuto con la fonte.

1. 1

   Definisci il compito e i suoi limiti

   Metti per iscritto la domanda, i dati consentiti e il risultato atteso. Scegli un’operazione di sola lettura e un’identità con permessi limitati. Assegna un responsabile che possa disabilitare la connessione.

2. 2

   Segui il percorso di connessione documentato dal produttore

   Verifica se occorre un comando locale o un URL remoto, completa l’autenticazione ed esamina le funzionalità disponibili. Abilita solo ciò che serve al compito.

3. 3

   Verifica i casi di successo, accesso negato ed errore

   Chiedi informazioni consentite, poi informazioni fuori dal perimetro dell’account. Accertati che l’accesso a queste ultime venga negato. Scollega il server e verifica che l’assistente segnali la mancanza di accesso, anziché presentare una risposta priva di riscontri.

4. 4

   Mantieni la connessione solo se il lavoro migliora

   Registra il tempo necessario per recuperare, verificare e correggere il risultato. Revoca la credenziale usata nella sperimentazione e verifica che l’accesso si interrompa. Estendi l’uso solo quando sono chiari sia il beneficio sia i limiti dei controlli.

Domande frequenti

Come si configura MCP?

Si configura nell’app di IA che funge da host: inserisci un comando di avvio per un server locale supportato oppure un URL per un server remoto, completa l’autenticazione e abilita gli strumenti necessari. Nomi dei file e impostazioni variano da un’app all’altra: consulta la documentazione aggiornata del produttore.

Che cosa significa la sigla MCP?

Nel software di IA, MCP sta per Model Context Protocol. È lo standard aperto per collegare applicazioni di IA a strumenti e dati esterni descritto in questo articolo.

Che cos’è MCP, spiegato in parole semplici?

Pensa a uno sportello condiviso: un’app di IA può scoprire che cosa offre un altro programma, inoltrare una richiesta in un formato concordato e ricevere il risultato. I permessi applicati dietro lo sportello restano validi.

Perché serve MCP?

Può ridurre il lavoro ripetuto di integrazione e consentire alle app di IA compatibili di riutilizzare gli strumenti. È facoltativo: per un flusso di lavoro prestabilito, un’API diretta o un’integrazione già approvata possono essere la scelta migliore.

Per quali attività si usa MCP?

MCP serve a portare nelle applicazioni di IA informazioni di contesto esterne e azioni autorizzate: per esempio, cercare dati, recuperare documenti o creare un’attività tramite uno strumento esposto dal server.

Per prendere decisioni pratiche sugli strumenti di IA e sui flussi di lavoro aziendali, iscriviti alla newsletter.