MCP-server

En MCP-server udstiller op til tre primitiver på serversiden. Tools er funktioner, som modellen kalder; de annonceres via tools/list med et navn, en beskrivelse i naturligt sprog, et JSON Schema i inputSchema (JSON Schema 2020-12 er standarddialekten) og eventuelt et outputSchema og udføres via tools/call, der returnerer indholdsblokke og eventuelt structuredContent. Resources er data, som applikationen styrer, adresseret med URI'er og læst med resources/read, og prompts er skabeloner, som brugeren vælger, hentet med prompts/get. Værktøjer kan også have annotationer som readOnlyHint, destructiveHint, idempotentHint og openWorldHint; specifikationen siger, at klienter skal betragte dem som upålidelige, medmindre selve serveren er betroet, for en ondsindet server kan bare lyve.

Der er to standardtransporter. Med stdio starter værten serveren som en lokal underproces og udveksler linjeopdelt JSON-RPC over stdin og stdout; serveren kører med brugerens egne rettigheder i styresystemet, og autorisationsspecifikationen siger, at stdio-servere bør hente legitimationsoplysninger fra miljøet i stedet for at køre OAuth. Med Streamable HTTP er serveren et fjernendpoint og fungerer, når den er beskyttet, som OAuth 2.1-ressourceserver: Den skal publicere OAuth 2.0 Protected Resource Metadata (RFC 9728), kun acceptere tokens, hvis audience er den selv (resource indicators efter RFC 8707), og må ikke sende modtagne tokens videre til bagvedliggende API'er, en regel rettet mod confused deputy-problemet. Lokale HTTP-servere skal desuden validere Origin-headeren for at modstå DNS rebinding. Revisionen 2026-07-28 gjorde protokollen tilstandsløs: initialize-håndtrykket og headeren Mcp-Session-Id er fjernet, servere skal implementere server/discover, listeresultater har cachehints i ttlMs og cacheScope, og tilstand på tværs af kald skal modelleres som eksplicitte handles, der sendes med i værktøjsargumenterne.

Den største reelle risiko ligger i økosystemet af servere snarere end i selve protokollen. Tool poisoning gemmer instruktioner i værktøjsbeskrivelser, som værten giver ordret videre til modellen; et "rug pull" ændrer et værktøjs definition, efter at brugeren har godkendt det; og når flere servere er tilsluttet, kan én servers beskrivelser skygge for eller omdirigere en andens værktøjer. Almindelige softwarefejl gælder også: CVE-2025-6514, offentliggjort i juli 2025, var en kritisk OS command injection i den udbredte proxy mcp-remote, der blev udløst ved forbindelse til en ondsindet server. Valideringsfejl bør returneres som fejl i værktøjsudførelsen (isError) frem for protokolfejl, så modellen kan rette sit kald.

I drift bør en MCP-server behandles som enhver tredjepartsafhængighed med legitimationsoplysninger: Fastlås versioner og gennemgå kildekoden, foretræk officielle eller registerverificerede servere, udsted snævert afgrænsede tokens, kør lokale servere i en container eller sandkasse, hvor det er muligt, log hvert værktøjskald, og lad organisationen håndhæve en tilladelsesliste over godkendte servere via centralt styret klientkonfiguration.