Jak podłączyć agenta AI do systemów firmy

„Chcemy, żeby agent AI sam aktualizował zgłoszenia w Jirze i czytał dokumenty z SharePointa. Jak go do nich podłączyć?” Sposób połączenia bywa traktowany jako szczegół techniczny do rozstrzygnięcia przez zespół. Decyduje jednak o tym, ile kosztuje utrzymanie integracji, kto może ją wywołać i czy po incydencie da się odtworzyć, co dokładnie agent zrobił. Dotyczy to każdego systemu z danymi: Jiry, SharePointa, hurtowni danych, systemu ERP (planowanie zasobów przedsiębiorstwa) albo wewnętrznego API (interfejs programistyczny).

Dwa sposoby podłączenia narzędzia

MCP standaryzuje opis możliwości, negocjację uprawnień i sposób przekazywania wyników. Skrypt zostawia te decyzje zespołowi, co bywa zaletą przy jednej integracji i problemem przy dziesięciu.

Stan protokołu w lipcu 2026

9 grudnia 2025 MCP trafił do Agentic AI Foundation, funduszu prowadzonego pod Linux Foundation, współzałożonego przez Anthropic, Block i OpenAI, przy wsparciu Google, Microsoftu, AWS, Cloudflare i Bloomberga. W ogłoszeniu podano ponad 10 tysięcy aktywnych serwerów MCP i ponad 97 milionów miesięcznych pobrań bibliotek programistycznych (SDK).¹ Publiczny rejestr serwerów działa od września 2025.

Obowiązująca wersja specyfikacji nosi datę 2025-11-25, ale kształt następnej jest już ustalony. 21 maja 2026 opublikowano kandydata do wydania 2026-07-28, z finalną wersją zaplanowaną na 28 lipca. To największa zmiana od startu protokołu: bezstanowy rdzeń bez uzgadniania sesji, negocjacja możliwości osobno dla każdego żądania, zaostrzone reguły autoryzacji i ramy rozszerzeń.² Zmiany łamią zgodność wstecz, więc integracja pisana dziś pod wersję 2025-11-25 wymaga przeglądu przed aktualizacją bibliotek do nowej specyfikacji.

Kiedy MCP się zwraca

1. To samo narzędzie wywoływane z kilku miejsc. Jeden serwer obsłuży asystenta w edytorze kodu, aplikację czatową i własnego agenta zamiast trzech osobnych integracji utrzymywanych przez trzy osoby.
2. Serwer utrzymuje dostawca systemu. Zgodność z kolejnymi wersjami API przestaje być kosztem zespołu i staje się elementem produktu, za który odpowiada dostawca.
3. Uprawnienia per użytkownik. Gdy dostęp jest przyznawany każdej osobie osobno, z odświeżaniem tokenów i wycofywaniem uprawnień, warstwa autoryzacji protokołu wykonuje pracę, którą inaczej trzeba napisać ręcznie.
4. Zmienny zestaw narzędzi. Gdy katalog funkcji zmienia się co kilka tygodni, odkrywanie narzędzi w czasie działania jest wygodniejsze niż aktualizowanie promptów przy każdej zmianie.

Kiedy wystarczy skrypt

Przy jednej integracji wywoływanej z jednego miejsca serwer MCP dokłada warstwę, która nic nie zwraca. Jeżeli w repozytorium jest już przetestowany skrypt do wystawiania faktur albo aktualizowania zgłoszeń, tańsze jest dopuszczenie agenta do jego wywołania niż przepisywanie go na protokół.

Skrypt wygrywa też przy operacjach o wysokiej stawce, gdzie liczy się wąska i sztywna powierzchnia działania. Pięć jawnie zdefiniowanych poleceń łatwiej przejrzeć na przeglądzie kodu niż serwer z czterdziestoma narzędziami, spośród których agent wybiera sam.

Sprawdza się też podział na odczyt i zapis. Odczyt danych idzie przez gotowy serwer MCP dostawcy, bo jest wygodny i nie zmienia stanu systemu. Każdy zapis przechodzi przez własny skrypt, z poświadczeniem w zmiennych środowiskowych i logiem każdego wywołania. Firma utrzymuje wtedy dwa mechanizmy zamiast jednego, a w zamian każda operacja zmieniająca stan ma jawną ścieżkę i zostawia ślad.

Koszt kontekstu

Definicje narzędzi zajmują miejsce w kontekście modelu. Przy kilkunastu podłączonych serwerach sam katalog potrafi zająć kilkadziesiąt tysięcy tokenów, zanim agent wykona pierwszą czynność. W listopadzie 2025 Anthropic opisał wzorzec wywoływania narzędzi MCP z poziomu kodu uruchamianego w odizolowanym środowisku: definicje ładowane na żądanie, dane pośrednie przetwarzane w kodzie, a do modelu trafia gotowy wynik. W opisanym przykładzie zadanie zeszło z ok. 150 tysięcy do ok. 2 tysięcy tokenów.³ To jeden udokumentowany przypadek, więc liczby nie przenosi się wprost na inne środowiska, ale kierunek jest jasny: MCP dostarcza opis narzędzi, a wykonanie i tak schodzi do kodu.

• ok. 150 tys.tokenów w opisanym zadaniu, gdy definicje i dane pośrednie idą przez kontekst modelu
• ok. 2 tys.tokenów w tym samym zadaniu, gdy narzędzia wywołuje kod, a model dostaje gotowy wynik

Bezpieczeństwo i ślad audytowy

15 kwietnia 2026 badacze opisali klasę ataków nazwaną „Comment and Control”.⁴ Treść wstrzyknięta w tytuł pull requesta albo w komentarz zgłoszenia przejmowała agentów uruchamianych automatycznie w GitHub Actions, w tym Claude Code Security Review, Gemini CLI Action i GitHub Copilot Agent, i skłaniała je do wyprowadzenia sekretów ze środowiska uruchomieniowego. Producenci wypłacili nagrody za zgłoszenia, bez publicznych identyfikatorów CVE (katalog powszechnie znanych podatności).

Agent traktuje wczytaną treść jak zaufany kontekst, więc jego uprawnienia stają się uprawnieniami atakującego. Zasięg szkody ograniczają cztery kontrole stosowane razem:

1. Lista dozwolonych narzędzi.
2. Tożsamość przypisana do każdego wywołania.
3. Log z argumentami i wynikiem każdego wywołania.
4. Akceptacja człowieka przy operacjach nieodwracalnych.

W rozmowie z audytem przewagę ma skrypt: log wywołań powstaje sam, a granica uprawnień jest widoczna wprost w kodzie. Przy MCP audyt trzeba zaprojektować świadomie, bo wywołanie przechodzi przez warstwę, której zespół nie pisał.

Cztery pytania przed wyborem

Wybór rozstrzyga się osobno dla każdej integracji, z krótkim uzasadnieniem na piśmie, bo w ciągu kilku miesięcy zmienią się i wersje protokołu, i lista gotowych serwerów utrzymywanych przez dostawców. Przegląd integracji agentów i projekt uprawnień prowadzimy w ramach pakietu Automatyzacje i agenci AI.

Najczęstsze pytania