MCP (Model Context Protocol)

MCP란 무엇인가

MCP (Model Context Protocol)는 AI 모델 (특히 Large Language Model, LLM)과 외부 애플리케이션이나 데이터 소스를 연결 하기 위한 개방형 표준 프로토콜이다.
2024년 Anthropic이 제안하고 오픈소스로 공개했으며, AI 모델이 외부 도구나 데이터에 접근하고 상호작용할 수 있도록 표준화된 인터페이스를 제공한다.

다양한 모델과 도구 간에 일관된 방식으로 연결되도록 해주는 역할을 하며, 흔히 “AI 업계의 USB-C” 로 비유된다.

등장 배경 및 필요성

LLM이 아무리 발전해도 실시간 데이터나 사내 시스템에 접근하지 못하고 고립되어 있으면 정보 사일로에 갇히게 되어 활용도가 떨어진다. 또한 기존에는 도구마다 맞춤형 통합 코드가 필요했기 때문에 확장성과 유지 보수 측면에서 비효율적이었다.

MCP는 이런 통합 문제를 해결하기 위해 등장했으며, N×M의 통합 문제¹를 하나의 표준 프로토콜로 간소화해주는 해결책으로 작동한다.

²

주요 구성 요소

MCP는 LLM에게 전달되는 문맥과 도구 호출을 구조화 하기 위해 여러 구성 요소를 정의한다.

데이터 포맷과 구조

MCP는 JSON-RPC 2.0 기반의 통신 포맷을 사용한다.
모든 도구 요청은 method와 params 필드를 갖는 JSON 객체로 이루어지며, 결과 역시 JSON 형식으로 반환된다.

Metadata 태그

모든 메시지에는 conversation_id, timestamp, token 수 등의 메타데이터가 포함된다.
보안 제어를 위한 allowed_tools 필드나 우선순위 설정, 지속 여부(persistent)와 같은 태그도 지정 가능하다.

Session 및 메모리 관리

대화 흐름을 유지하기 위해 conversation_id로 세션을 구분하며, 메시지에 persistent 태그를 부여하면 LLM이 그 정보를 기억하도록 유도할 수 있다.
과거 대화 내용과 사용 가능한 도구 리스트도 LLM에게 구조화된 방식으로 전달된다.

Chain-of-Thought 및 도구 연계

MCP는 LLM이 복잡한 문제를 풀기 위해 여러 도구를 단계적으로 호출할 수 있게 해준다.
이때 각 단계의 reasoning은 tool 호출 → 결과 반영 → 다음 reasoning으로 이어지며, MCP는 이 흐름을 구조화된 메시지 교환 방식으로 지원한다.

Grounding 및 출처 연계

tool 호출 결과에 출처 (source)나 신뢰도 (confidence) 메타데이터를 담아 전달할 수 있다.
이는 hallucination을 줄이고, 모델이 응답에 외부 정보를 근거로 삼을 수 있도록 한다.

동작 방식

MCP는 클라이언트-서버 구조를 따른다.
MCP 클라이언트는 LLM이 위치한 앱 또는 시스템이며, MCP 서버는 도구(API, DB 등)를 실제 실행하는 쪽이다.

1. 사용자 질의 입력

   • 사용자가 MCP를 지원하는 애플리케이션을 통해 질문이나 명령 입력

2. MCP 클라이언트가 컨텍스트를 준비하고 프롬프트를 생성

   • MCP 클라이언트 (호스트)는 현재 대화 메모리와 사용 가능한 도구 목록을 MCP 서버로부터 미리 조회
   • 시스템 명령, 사용자 질문, 도구 정보를 종합하여 구조화 프롬프트 작성

3. LLM이 도구 호출을 판단하고 호출 포맷 출력

   • 프롬프트가 LLM에 입력되고 LLM은 사용자 질문과 포함된 맥락 해석
   • 외부 도구 필요하면 특정 도구를 호출하겠다는 응답 생성

4. MCP 클라이언트가 MCP 서버에 JSON-RPC 방식으로 실제 호출

   • LLM 출력 확인해서 MCP 서버에 해당 API 호출 요청
   • MCP 서버는 실제 외부 동작 수행한 후 결과값 준비

5. 결과를 받아 LLM에게 다시 전달

   • MCP 서버는 결과를 받아 MCP 클라이언트에 반환
   • MCP 클라이언트는 받은 결과를 LLM에게 새로운 메시지로 전달

6. LLM이 최종 응답 생성

   • LLM은 갱신된 context를 받아 최종 사용자 답변 생성
   • MCP 클라이언트는 그 완성된 답변을 사용자에게 전달

이 과정은 다단계로 반복될 수 있으며, 세션 관리와 맥락 유지가 구조화된 방식으로 가능하다.

관련 기술 및 비교

MCP 등장 이전에 사용되었던 LLM 통합 기술들과 MCP의 차이점은 다음과 같다

LangChain

LangChain은 Python 기반의 프레임워크로, tool wrapping이나 chaining을 수월하게 하지만, 모델 자체의 호출 포맷 표준화는 미흡하다.
tool 통합은 각 API마다 별도 구현이 필요했고 수백 개의 tool wrapper를 라이므러리에 추가 유지해야 했다. 또한 모델이 동적으로 새로운 tool을 발견하는 기능은 없었다.

MCP는 이 점을 보완하여 모델 중심의 표준 인터페이스를 제공하며 LLM이 런타임에 임의의 MCP tool을 조회하고 활용할 수 있게 한다.

최신 LangChain 버전들은 MCP 서버를 하나의 tool 로 취급할 수 있게 지원하고 있고 이를 통해 내부적으로 MCP를 사용해 여러 환경에서 동일한 방식으로 tool을 불러쓸 수 있게 되었다.

OpenAI Function Calling

Function calling은 모델이 JSON 형태의 함수 호출을 출력하는 기능이고 MCP는 이 출력 결과를 받아 실제 외부 API 호출을 실행하고 결과를 다시 전달하는 역할을 한다.

다시 말해 OpenAI Function calling은 모델이 구조화된 함수 요청을 Json형태로 내보내는 역할을 하는 것이고, MCP는 그런 요청을 받아 실제 외부 도구 실행 및 응답 전송을 수행하는 기술로 서로 보완적으로 자주 동작한다.

MCP는 추가적으로 지속적인 context 관리나 반복적인 상호작용을 지원하기 때문에, OpenAI API 기반 애플리케이션에도 MCP를 도입하면 tool 활용을 보다 체계적이고 범용적으로 관리할 수 있다.

ChatGPT Plugins

OpenAI가 자사 챗봇에 외부 서비스를 붙일 때 사용하던 전용 플러그인으로, 특정 웹 서비스마다 플러그인을 제작해야했고 플랫폼 종속적이다.

반면 MCP는 개방형 표준으로, 어떤 플랫폼이나 시스템에서도 사용할 수 있다.

Toolformer

Toolformer는 모델이 훈련 시점에 tool 사용 패턴을 학습하여 inference 시 tool을 사용할 수 있게 시점과 방법을 결정하도록 만든 기술이다. 결과적으로 모델 파라미터 속에 tool 사용 능력이 내장되어, 추론 시 외부 컨트롤러 없이 모델이 필요한 API를 자동 호출할 수 있게 된다.
하지만 새로운 tool을 추가하려면 재훈련이나 추가 fine-tuning이 필요하며, tool 사용 로직이 숨겨져 있어 모델 외부에서 모니털이 및 제어가 어려운 한계가 있다.

반면 MCP는 runtime 기반으로, 별도 훈련 없이 유연하게 tool을 연계할 수 있다.

Toolformer가 경량/고속이지만 확장성이 낮고, MCP는 범용/유연하지만 외부 오케스트레이션이 필요하기 때문에 목적에 따라 선택적으로 사용된다

대표적인 구현 사례 및 프로젝트

• Anthropic Claude Desktop: 로컬 파일 열람 및 시스템 도구 접근 지원

• OpenAI ChatGPT 및 Agents: 공식 MCP 도입 및 클라이언트 SDK 제공

• Google Gemini: MCP 표준 채택 예정

• 기업 내 AI 도우미(Block 등): 내부 시스템과 연결

• Sourcegraph, Replit, Zed IDE: 개발자 tool 내 코드 검색 및 맥락 지원

• 오픈소스 MCP 서버: Google Drive, GitHub, Slack 등

장점

1. 범용 인터페이스에 따른 호환성과 확장성
   • 한 번 개발해두면, 동일한 인터페이스로 여러 도구 교체 및 추가 가능
2. 신속한 통합과 개발 생산성 향상
   • 새로운 기능을 플러그인 꽂듯이 추가 가능
   • 개발팀은 고수준 logic 구현에 집중
3. 복잡한 멀티스텝 작업 및 자율 에이전트 구현
   • 여러 tool을 맥락에 따라 연속 호출하며 작업을 완수하는 합성 에이전트 구현 (composable agent) 쉬워짐
   • 도메인 특화 작업을 인간 대신 수행하거나, 복잡한 비즈니스 프로세스 자동화 투입 가능성 열림
4. 일관성 있는 포맷과 상호운용성
   • 일관된 JSON 구조로 통신하기 때문에 응용 시 처리 로직이 단순해지고 디버깅과 확장에 유리
5. 지속적 대화 및 양방향 context
   • tool과 모델 간의 대화를 이어나가며 대화형 상호작용 가능
6. 보안 및 인증 통합
   • 프로토콜 차원에서 표준 인증 절차를 지원해 보안 향상
   • 각 tool에 권한 scope를 설정하여 모델 접근 통제 및 데이터 최소 노출

한계

1. 초기 표준의 미성숙함

   • 다단계 tool 연쇄 사용의 표준화, 실시간 스트림 데이터 처리, 프라이버시가 필요한 연산 등을 어떻게 프로토콜에 녹일지 향후 개선 필요

2. 성능 및 복잡도 부담

   • 클라이언트-서버 구조로 latency 생길 수 있음
   • 고성능이 요구되는 실시간 응용에서는 사용에 신중해야 함

3. 모델의 의존

   • tool을 언제 어떻게 사용할지는 여전히 LLM의 판단에 의존
   • MCP 자체가 모델의 판단력이나 사실성 문제를 해결해주지는 않음

4. 보안 위험 요소

   • Prompt Injection³, tool-swapping⁴과 같은 신규 보안 위협 발견되고 있음

5. Tool 생태계 의존

   • 얼마나 풍부한 MCP 호환 tool 생태계가 형성되는지에 MCP의 가치 및 성공이 달려 있음

보안 및 프라이버시 고려사항

MCP는 AI와 외부 시스템을 연결하는 만큼 보안(security)과 프라이버시(privacy)가 매우 중요하다.
MCP 설계와 구현 시 고려되는 핵심 사항은 다음과 같다:

1. 권한 관리 및 인증

   • allowed_tools, access_level 등의 메타데이터로 도구 접근 범위를 제한
   • OAuth 2.0을 통해 인증 정보를 안전하게 처리하고, 사용자 승인 기반 데이터 접근이 가능

2. 데이터 보호 및 안전한 실행 환경

   • MCP 서버를 로컬/내부망에 배치해 데이터 유출을 방지
   • 샌드박스 실행과 tool 신뢰 목록을 통해 tool-swapping 위험을 감소

3. 공격 대응 및 감사 추적

   • Prompt injection 방지를 위한 프롬프트 필터링과 tool 역할 구분 기법 사용
   • 메타데이터 기반 출처 표기 및 로그 기록으로 잘못된 출력에 대한 감사 추적이 가능

결론적으로 MCP는 프로토콜 수준에서 다양한 보안 기능을 제공하지만, 지속적인 점검과 개발자 측의 안전 설계가 병행되어야 한다.

향후 발전 가능성 및 커뮤니티 동향

1. 프로토콜 성숙 및 기능 확장

   • 프롬프트 구조 개선, 스트리밍 지원, 멀티에이전트 연계 등 기능 고도화가 논의 중
   • 에이전트 통신 프로토콜과 통합되어 복잡한 협업 구조도 가능해질 전망

2. 생태계 및 도구 확산

   • 오픈 MCP 서버 수천 개가 배포되며 생태계가 급속히 확장되고 있음
   • MCP 지원 SDK와 배포 도구가 늘어나며 개발자 채택 장벽이 낮아지고 있음

3. 인프라로서의 자리매김

   • 전문가들은 MCP를 HTTP처럼 AI 시대의 기본 연결 프로토콜로 보고 있음
   • 복잡한 통합 과정을 줄이고 목적 중심 AI 시스템 개발을 가능하게 하는 기반 기술로 진화 중

---

궁극적으로 많은 전문가는 MCP의 미래상을 HTTP 같은 인프라에 비유한다.
웹이 처음 등장했을 때는 단순한 페이지 로딩이었지만, 결국 상상도 못한 웹앱들을 탄생시켰듯이, MCP도 처음엔 tool 몇 개 연결에 불과했지만 장차 AI 에이전트 세상의 기본 통신망이 될 수 있다는 것이다.

AI 시스템이 세상과 소통하는 방식이 조용히 MCP로 수렴되어, 미래의 개발자들은 예전에 이런 통합을 직접 코딩해야 했다는 사실조차 잊게 될 것 이라는 전망도 나오고 있다.

실제로 “AI 통합에 들이던 노력은 끝나가고, 이제 무엇을 할지에 집중하는 시대” 가 오고 있다고 분석되며 , MCP가 그런 시대를 앞당기는 핵심 요소로 기대되고 있다.

Footnotes

1. N개의 AI 모델과 M개의 도구가 있을 때, 각각을 별도로 연결해야 하므로 통합 비용이 빠르게 증가하는 문제 ↩

2. https://www.descope.com/learn/post/mcp ↩

3. 사용자가 프롬프트에 특정한 명령이나 지시를 삽입해, 모델이 원래 의도와 다르게 동작하도록 유도 ↩

4. 모델이 호출하려는 정상 도구를 공격자가 유사한 인터페이스를 가진 악성 도구로 바꿔치기하여 모델이 오용되거나 민감 정보가 유출되도록 만드는 것 ↩