MCP Jadi Standar Tool AI: Kenapa Protokol Ini Menang

Sebelum November 2024, setiap tool AI yang ingin menyentuh dunia nyata harus punya integrasi sendiri. Kalau sebuah server email ingin dipakai oleh dua puluh AI agent, berarti dua puluh integrasi yang ditulis, dua puluh format permintaan, dan dua puluh tempat untuk kesalahan merembet. MCP lahir untuk mengakhiri itu, dan dalam tiga belas bulan berubah dari usulan satu perusahaan menjadi standar industri.

Namanya Model Context Protocol. Dirilis pertama kali oleh Anthropic pada 25 November 2024 sebagai cara menghubungkan aplikasi AI ke sumber data dan tool di luarnya. Intinya sederhana: satu bahasa yang sama untuk semua tool, bukan satu bahasa per tool.

Yang membuat MCP berbeda bukan cara teknisnya. Yang membuatnya penting adalah siapa yang memegang kendali atas tool itu, dan siapa yang bertanggung jawab ketika tool itu salah.

Arsitekturnya: Host, Client, dan Server

MCP punya tiga pihak, dan membedakannya adalah kunci untuk memahami risikonya.

Protokolnya memakai JSON-RPC 2,0, dan transportnya ada dua, yaitu stdio untuk proses lokal dan Streamable HTTP untuk yang berjalan sebagai layanan. Tepat di atasnya ada tiga primitif dasar. Resources adalah data dan konteks yang dibaca, seperti file atau baris database. Prompts adalah template pesan yang bisa dipanggil. Tools adalah fungsi yang dieksekusi model, dan ini yang paling berbahaya karena ia bisa mengubah dunia.

Ada dua arah tambahan yang sering terlewat. Elicitation membolehkan server bertanya kembali ke pengguna, jadi server tidak harus menebak hal yang tidak boleh dia tebak. Sampling membolehkan server meminta host menjalankan inferensi model, jadi tool bisa memakai model yang sedang dipakai pengguna tanpa punya akses API sendiri.

Protokol ini terilhami Language Server Protocol, yang lebih dulu berhasil menyatukan dukungan bahasa di berbagai editor. Bedanya, LSP menyatukan satu domain, sedangkan MCP mencoba menyatukan semua domain sekaligus.

Spesifikasi 2026-07-28 juga punya beberapa ekstensi di luar intinya. Tasks menjalankan operasi yang panjang secara asynchronous, dengan polling, masukan di tengah jalan, dan handle yang bertahan lama. Skills over MCP membawa instruksi kerja terstruktur yang bisa ditemukan dan dipakai agent. MCP Apps merender elemen antarmuka di dalam percakapan, seperti grafik dan formulir, tanpa harus pindah ke jendela lain. Semuanya opsional, dan semuanya harus didukung kedua sisi sebelum dipakai.

Dari Nol ke Standar Industri dalam Tiga Belas Bulan

Perjalanannya cepat, dan angka-angkanya perlu dibaca sebagai klaim Carefully.

Pada 9 Desember 2025, Anthropic menyerahkan MCP ke Agentic AI Foundation, sebuah directed fund di bawah Linux Foundation. Yayasan itu didirikan bersama oleh Anthropic, Block, dan OpenAI, dengan dukungan dari Google, Microsoft, AWS, Cloudflare, dan Bloomberg. MCP menjadi salah satu dari tiga proyek pendiri, bersama goose milik Block dan AGENTS.md milik OpenAI.

Pada saat penyerahan itu, tiga angka disebut. Lebih dari 10.000 server MCP publik yang aktif. Adopsi oleh ChatGPT, Cursor, Gemini, Microsoft Copilot, dan Visual Studio Code. Dan 97 juta unduhan SDK bulanan untuk Python dan TypeScript. Yang terakhir itu angka yang paling menarik, karena unduhan SDK lebih mencerminkan pemakaian nyata daripada jumlah server yang terdaftar.

Pada 14 September 2026, Agentic AI Foundation menerbitkan sertifikasi MCP yang pertama. Sertifikasi itu punya lima domain uji, yaitu dasar-dasar MCP, arsitektur dan komponennya, interaksi dan eksekusi, keamanan dan tata kelola, serta kasus penggunaan dan ekosistem. Domain keamanan dan tata kelola sendiri mengambil 24 persen dari bobot, hampir sama dengan interaksi. Itu pilihan yang menarik, dan itu bicara soal apa yang dipikirkankan komunitas.

Spesifikasi terbaru yang tersedia per Oktober 2026 bernomor 2026-07-28.

Yang Belum Terselesaikan: Server MCP Adalah Rantai Pasok Baru

Inilah tempat industri ini punya masalah yang belum selesai, dan masalahnya bukan teknis.

Setiap server MCP adalah program pihak ketiga yang berjalan di dalam host. Server itu punya akses ke berkas, jaringan, dan proses milik pengguna. Dan deskripsi tool-nya adalah teks bebas yang dibaca model. Teks bebas yang dibaca model adalah jalur prompt injection yang sah, karena model tidak bisa membedakan instruksi yang di coordinators dengan instruksi yang menyamar.

Pola yang sudah terlihat sejak 2025 dan 2026 berulang. Tool poisoning, yaitu deskripsi tool yang menyamar sebagai instruksi sistem. Rug pull, yaitu perilaku tool yang berubah diam-diam setelah versi pertama terpasang. Confused deputy, yaitu server yang memakai izin lebih besar dari yang diberikan pengguna karena tidak ada batas yang jelas antara izin tool dan izin aplikasi.

Yang membuat ini sulit adalah daftar ini bukan masalah spesifik protokolnya. Protokolnya sendiri sudah punya prinsip keamanan yang ditulis, dan prinsip pertamanya adalah persetujuan serta kendali pengguna. Tapi prinsip hanya bekerja kalau implementasinya benar, dan implementasinya ada di ribuan server yang ditulis oleh ribuan orang dalam berbagai tingkat kehati-hatian.

Analisis: Kenapa Protokol Ini Menang, dan Apa Risikonya

Ada tiga alasan MCP menang, dan ketiganya bukan soal kualitas teknis.

Pertama, timing. Protokol ini keluar pada saat permintaan sedang melonjak. Agent mulai jadi antarmuka utama untuk banyak software, dan setiap integrasi khusus berarti biaya yang tidak bisa dibagihkan. Protokol yang tersedia lebih dulu biasanya menang, bukan yang paling baik.

Kedua, dan ini yang sering terlewat, MCP datang ke pasar yang sudah punya Language Server Protocol sebagai teladan. LSP berhasil karena editor tidak pernah mengulang pekerjaan yang sama. MCP berhasil karena agent tidak pernah mengulang pekerjaan yang sama. Pelajaran dari LSP soal netralitas tata kelola, dan dari yayasan yang dibentuk pada 2025, ada bukti bahwa tata kelola netral bisa bekerja di industri yang biasanya tidak mengizinkan.

Ketiga, ada pihak yang membawa separuh pasar tanpa harus membangunnya sendiri. OpenAI menyerahkan AGENTS.md ke yayasan yang sama pada hari yang sama. Dua perusahaan yang biasanya bersaing menjadi proyek pendiri di yayasan yang sama, dan itu mengubah dinamika. Ketika dua pesaing terbesar ada di ruangan yang sama, protokolnya berhenti jadi milik satu perusahaan.

Tapi ada risikonya, dan risikonya bukan kecil. Protokol yang netral, dengan tata kelolanya di yayasan yang sama, punya satu kelemahan: tidak ada satu pihak pun yang bertanggung jawab ketika ada server yang berbahaya. Basis kode di server itu milik komunitas, tapi yang memakainya adalah host dan pengguna, dan mereka yang menanggung risikonya.

Ada risiko kedua yang lebih halus. MCP membuat AI agent punya akses ke tool, dan akses ke tool selalu berarti akses ke izin. Protocol yang menyederhanakan akses juga menyederhanakan penyalahgunaan. Kalau ada sepuluh tool terhubung ke satu host, dan satu tool itu punya akses penuh ke berkas, maka kompromi tool yang itu sama dengan kompromi seluruh host.

Ada satu hal yang perlu jujur. Angka 10.000 server dan 97 juta unduhan SDK itu berasal dari pihak yang mengumumkannya, dan tidak ada yang bisa diaudit. Yang jelas arahnya: jumlah server akan terus naik, dan mutu server akan terus turun, karena menambah server jauh lebih murah daripada mengauditnya. Itu pola yang sama dengan semua pasar open source yang pernah ada, dan hasil akhirnya selalu sama. Yang benar-benar bisa dipercaya akan selalu lebih mahal dibangun daripada yang tidak.

Apa yang Bisa Kamu Lakukan

Kalau kamu membangun agent pada 2026, ada empat hal yang perlu kamu putuskan sejak awal. Keempatnya murah untuk dikerjakan, tetapi mahal untuk diperbaiki belakangan.

Pertama, pakai izin seketat mungkin per tool, bukan per server. Server satu dengan sepuluh tool sebaiknya punya sepuluh izin berbeda, bukan satu izin longgar yang berlaku untuk semuanya.

Kedua, pin versi setiap server yang kamu pakai, dan baca changelog setiap kali mau update. Rug pull bekerja justru karena orang meng-update tanpa membaca.

Ketiga, perlakukan deskripsi tool sebagai kode yang perlu direview, bukan sebagai dokumentasi yang perlu dibaca. Kalau ada instruksi di dalamnya yang tidak masuk akal untuk fungsi tool itu, itu bukan dokumentasi.

Keempat, pisahkan kredensial. Setiap server sebaiknya punya kunci sendiri, dengan batas yang jelas. Biayanya beberapa menit, dan polanya persis sama dengan yang kita bahas di insiden OpenCode pada Oktober 2026. Kunci API adalah aset, bukan credential teknis yang biasa.

Dan kalau kamu cuma pemakai, bukan pembangun, satu hal ini yang paling penting. Menambahkan server MCP ke agent berarti memberikan izin, dan izin itu tidak hilang saat kamu menutup aplikasinya. Baca dulu apa yang bisa diakses server itu sebelum kamu menyambungkannya.