MCP: modelos ligados a ferramentas, com guarda-corpo

Durante dois anos, cada produto de modelo inventou o seu plugue. Um jeito de ler arquivo, outro de chamar API, um terceiro de listar “tools” num JSON que só aquele SDK entendia. O Model Context Protocol, aberto no fim de 2024 e adotado com velocidade em 2025, é a tentativa de uma tomada comum: o modelo, via um cliente, descobre o que um servidor oferece — ferramentas, recursos, prompts — e usa isso com um contrato.

MCP não pensa. Não recupera parágrafo por similaridade. Não decide o laço. Ele expõe. A confusão com RAG e com agentes vem da pressa de empilhar siglas. Os três fazem empregos diferentes. Misturá-los num slide não mistura os modos de falhar.

O que o protocolo de fato padroniza

Há um host — o aplicativo em que a pessoa conversa ou o serviço que roda o fluxo. Dentro dele, um cliente MCP fala com um ou mais servidores. O servidor declara capacidades.

Ferramentas executam ação: consultar pedido, criar arquivo, disparar busca. Quem escolhe, em muitos desenhos, é o modelo. Por isso a descrição da ferramenta é tão crítica quanto o código.

Recursos oferecem dado: um arquivo, uma tabela, um blob. Quem escolhe costuma ser a aplicação, não o modelo. Essa distinção é um guarda-corpo: você decide o que entra no contexto, em vez de deixar o modelo vasculhar o disco.

Prompts são modelos de instrução parametrizáveis, escolhidos pela pessoa ou pelo host. Evitam o copy-paste eterno de um texto de sistema.

A comunicação, no começo, foi sobretudo local (stdio, JSON-RPC). Depois vieram servidores remotos, com o que todo remoto exige e a documentação nem sempre enfatiza: autenticação, autorização, limite de taxa, auditoria. Um MCP remoto sem isso é uma API privilegiada com prosa.

flowchart LR
  H[Host] --> C[Cliente]
  C --> S[Servidor MCP]
  S --> T[Ferramentas]
  S --> R[Recursos]
  S --> P[Prompts]
  classDef ouro fill:#FBF5E4,stroke:#C9A227,color:#0B1F18,stroke-width:1.4px
  classDef verde fill:#F3FAF7,stroke:#1E7A57,color:#0B1F18,stroke-width:1.4px
  classDef fim fill:#14513B,stroke:#0F3328,color:#FBFAF6,stroke-width:1.4px
  class H ouro
  class C,S verde
  class T,R,P fim

A analogia da tomada serve se não for levada a milagre. USB-C não torna o aparelho seguro. Padroniza o encaixe. O que você pluga — e com que permissão — continua sendo desenho seu.

RAG, MCP e agentes não concorrem ao mesmo posto

RAG responde: “que trecho funda esta frase?”. Emprego: evidência. Estado: em geral, uma pergunta de cada vez. Risco: trecho errado, índice velho.

MCP responde: “como este modelo fala com este sistema, sem um adaptador novo por aplicativo?”. Emprego: contrato de ferramenta e de recurso. Estado: o estado mora nos sistemas atrás do servidor. Risco: ferramenta larga demais, credencial demais, servidor demais no mesmo host.

Agentes respondem: “quais passos, em que ordem, até o objetivo?”. Emprego: laço. Estado: memória da execução. Risco: loop, ferramenta inventada, ação irreversível.

Um fluxo maduro usa os três sem fundi-los. O agente (ou o script) pede evidência ao RAG, age via ferramenta MCP, e para num humano quando o efeito não tem volta. O RAG não precisa falar MCP. O MCP não precisa planejar. O agente não precisa ser o lugar onde as credenciais do ERP vivem.

Se a tarefa é “o que o capítulo 4 diz sobre atenção?”, MCP é excesso. Uma busca e uma geração bastam. Se a tarefa é “padronizar o acesso ao catálogo para qualquer host”, MCP começa a pagar o aluguel. Se a tarefa é “diagnosticar o pedido, aplicar a política e abrir o ticket”, aí o laço aparece — e o ticket, se for irreversível, não sai sem porteira.

Guarda-corpos que o protocolo não coloca por você

Padronizar descoberta não padroniza juízo. Alguns limites precisam estar no servidor e no host, não no prompt.

Superfície estreita. Cada ferramenta faz uma coisa. pedido.status(id) em vez de sql.query(texto). Argumentos com esquema. Recusa clara quando o JSON é inventado. O modelo vai testar a cerca. A cerca tem de existir.

Permissão no servidor. O modelo não recebe a chave do banco. O servidor executa com a identidade da pessoa ou de um papel mínimo, avalia autorização, registra quem pediu o quê. MCP não é desculpa para colocar a service account no prompt.

Lista explícita no host. Nem todo servidor que o desenvolvedor instalou deve estar visível à sessão do leitor. Descoberta irrestrita é um convite a ferramentas que ninguém revisou. O host escolhe o conjunto. O usuário vê o conjunto. O modelo escolhe dentro do conjunto.

Leitura versus escrita. Recursos de leitura podem ser mais largos. Ferramentas que alteram o mundo, mais estreitas, com confirmação fora do modelo quando o efeito não volta atrás. O mesmo critério do texto sobre agentes: classificação de risco antes da demo.

Auditoria. Nome da ferramenta, argumentos (com segredo mascarado), identidade, horário, resultado resumido. Sem log, o protocolo vira magia reversa: algo aconteceu no ERP e a prosa do modelo diz que deu certo.

Há ainda o risco prosaico de supply chain. Um servidor MCP é código de terceiros com acesso a coisas suas. Trate-o como dependência privilegiada: origem, versão, o que ele pode tocar. O hábito de “instalar vinte servidores para o assistente ficar poderoso” é o oposto de um guarda-corpo.

Onde o MCP ajuda de verdade

Ajuda quando há vários hosts e vários sistemas. Sem protocolo, cada par ganha um conector. Com protocolo, o catálogo, o repositório de originais, o buscador interno expõem um servidor cada, e os hosts — editor interno, assistente no site, ferramenta de suporte — reutilizam o contrato.

Ajuda quando a alternativa seria colar dado no prompt. Um recurso MCP pode entregar o arquivo certo, com permissão, em vez de uma pasta zip no contexto. Isso não substitui o índice vetorial para busca aberta; substitui o dump.

Não ajuda, sozinho, na alucinação factual. Ligar o modelo a uma ferramenta de busca não garante que ele a chame, nem que interprete o retorno. Sem a disciplina de fundamentar, você só deu braços a um narrador.

Uma mesa de decisão curta

• Preciso de parágrafo atribuível? RAG.
• Preciso de um contrato único para ação ou arquivo? MCP.
• Preciso de passos imprevisíveis rumo a um objetivo? Agente, com teto e porteira.
• Preciso das três coisas? Orquestre. Não misture os nomes.

O protocolo é um bom encanamento. Encanamento visível, com registro e torneira que fecha. O modelo ligado a ferramentas sem cerca não ficou “agentic”. Ficou com as chaves da casa e um talento conhecido para inventar portas.

Ferramenta, porteira e o modelo em produção são o território do volume 10 da AI One.

Leia também: Agentes de IA: o que fazem e onde falham e RAG: por que recuperar contexto.