Model Context Protocol (Türkçe:Model Bağlam Protokolü, kısaltma: MCP); Anthropic tarafından geliştirilen, açık standartlı ve açık kaynaklı bir framework'tür. Kasım 2024'te yapay zekâ sistemlerinin veri entegrasyon ve paylaşım mekanizmalarını standartlaştırmak amacıyla ortaya çıkmıştır. Fonksiyonları yürütmek, dosyaları okumak ve belirli bağlamdaki promptları işlemek için evrensel kanunlar sağlar. Küresel çapta, kurucusu Anthropic başta olmak üzere Google DeepMind ve OpenAI gibi öncü araştırma kuruluşları tarafından benimsenmektedir.
Arka plan
Protokol, 25 Kasım 2024'te Anthropic tarafından yapay zekâ uygulamalarının veri sistemlerini (iş yönetim araçları, geliştirme ortamları, içerik depoları gibi) standardize etme amacıyla duyuruldu. Genel olarak kapanık bilgi sistemlerini ve eski sistemleri hedeflemektedir. MCP'den önce geliştiriciler yazılımlarında kullandıkları her bir araç için farklı kodlara ihtiyaç duyarken standardın yaygınlaşmasıyla bu ihtiyaç azalmıştır.
Daha önceki birtakım yaklaşımlar (OpenAI'ınn 2023 "fonksiyon çağırma" API'si ve ChatGPT eklenti framework'ü gibi) benzer sorunları çözüyordu ancak satıcıya özgü bağlayıcılar gerektiriyordu. MCP yazarları, protokolün Language Server Protocol'ün (LSP) mesaj akışı fikirlerini kasıtlı olarak yeniden kullandığını ve JSON-RPC 2.0 üzerinden taşındığını belirtiyor. MCP, standart transfer mekanizması olarak stdio ve HTTP'yi (isteğe bağlı olarak SSE ile) resmi olarak belirtiyor.
Güvenlik
Protokolün yaygınlaşmasıyla birlikte güvenlik modeli eleştiri konusu oldu. Nisan 2025'te güvenlik araştırmacıları MCP'de, dolaylı komut enjeksiyonu (prompt injection) ve bağlı diğer araçlar üzerinden veri sızdırmaya olanak tanıyan zehirlenmiş araçlar dahil olmak üzere birden fazla açık sorun bulunduğunu bildirdi.
Araç zehirlenmesi
1 Nisan 2025'te Invariant Labs, "araç zehirlenmesi" (tool poisoning) adını verdiği bir saldırı sınıfını duyurdu. Saldırı, MCP sunucularının sunduğu araç açıklamalarının dil modeli tarafından tümüyle okunmasına karşılık istemci ara yüzlerinde çoğunlukla kısaltılmış biçimde gösterilmesine dayanır. Araştırmacılar, iki sayıyı toplayan zararsız görünümlü bir aracın açıklamasına gizlenmiş talimatlarla Cursor istemcisine yapılandırma dosyalarını ve SSH özel anahtarlarını okutup saldırgan sunucuya gönderttiklerini gösterdi.
Aynı çalışmada iki türev saldırı tanımlandı: bir sunucunun, istemci tarafından onaylandıktan sonra araç açıklamasını sessizce değiştirdiği rug pull saldırıları ve aynı istemciye bağlı zararlı bir sunucunun, güvenilen başka bir sunucuya ait aracın davranışını değiştirdiği gölgeleme (tool shadowing) saldırıları. Gösterilen örnekte sahte bir toplama aracı, güvenilir bir e-posta aracının tüm iletileri saldırganın adresine göndermesine yol açtı. Araştırmacılar, araç açıklamalarını bilinen enjeksiyon kalıplarına karşı tarayan açık kaynaklı mcp-scan aracını yayımladı.
Protokol düzeyinde önlemler
Protokolün resmî güvenlik dokümanı, MCP uygulamalarına yönelik saldırı vektörlerini ve önerilen karşı önlemleri listeler. Bunlar arasında üçüncü taraf API'lere bağlanan vekil sunucularda ortaya çıkabilen şaşkın vekil (confused deputy) sorunu, sunucuya verilmemiş erişim belirteçlerinin aşağı akış servislerine iletildiği belirteç aktarımı, yetkilendirme akışlarında sunucu taraflı istek sahteciliği (SSRF), yerel MCP sunucularının istemciyle aynı yetkilerle keyfi kod çalıştırabilmesi ve yetki kapsamlarının en aza indirilmesi yer alır. Yetkilendirme spesifikasyonu belirteç aktarımını açıkça yasaklar; vekil sunucular için istemci başına kullanıcı onayı zorunludur.
MCP Güvenli mi?
MCP yapılandırılmış bir izin sistemiyle çalışıyor: her araç ve kaynak erişimi açıkça tanımlanıyor, yapay zeka yalnızca izin verdiğin işlemleri yapabiliyor. Yerel bir sunucu kurduğunda veri bilgisayarından hiç çıkmıyor. Uzak sunucularda durum farklı ama — orada verin sunucunun sahibine gidiyor. "MCP kullanıyorum, veri bende kalıyor" diye bir garanti yok; bağlandığın sunucunun kime ait olduğuna bakman gerekiyor.
