Cos’è un server MCP e a cosa serve a un’azienda

MCP in parole semplici

Il sito ufficiale descrive MCP come uno standard aperto per collegare le applicazioni di intelligenza artificiale ai sistemi esterni, e lo paragona a una porta USB-C per le applicazioni di AI: come un solo tipo di attacco collega dispositivi diversi, un solo protocollo permette a più assistenti di usare gli stessi strumenti.

Per un’azienda significa che gestionale, CRM o negozio online espongono alcune funzioni, come «stato ordine» o «disponibilità articolo», e ChatGPT, Claude, Copilot o Gemini le possono usare senza un’integrazione diversa per ciascuno. I permessi li decide l’azienda.

Anthropic, l’azienda che sviluppa Claude, ha reso MCP open source il 25 novembre 2024. Il 9 dicembre 2025 il protocollo è entrato nella Agentic AI Foundation, costituita dalla Linux Foundation, mantenendo la propria autonomia tecnica. Tra i membri principali della fondazione ci sono AWS, Anthropic, Google, Microsoft e OpenAI.

Come funziona: client, server, strumenti e risorse

In un collegamento MCP ci sono due parti. Il client è l’applicazione di AI che la persona usa, per esempio Claude, ChatGPT o Copilot. Il server è il programma che si collega al gestionale, al CRM o all’e-commerce: di solito un server remoto, raggiungibile via internet con accesso protetto, che l’assistente aggiunge come «connettore».

Un esempio di percorso: chiedi «quali ordini di Rossi sono in ritardo?»; l’assistente chiama lo strumento «stato ordini»; il server verifica chi sei e cosa puoi vedere, interroga il gestionale e restituisce i dati; l’assistente li riassume. La specifica prevede il consenso esplicito dell’utente prima di usare uno strumento e un’autorizzazione basata su OAuth 2.1, lo stesso meccanismo che usi quando accedi a un servizio con l’account di un altro.

La specifica evolve: la versione del 28 luglio 2026 ha reso il protocollo senza stato e ha deprecato alcune funzioni con un preavviso di almeno dodici mesi, quindi un server MCP va aggiornato nel tempo. Il server espone soprattutto due cose:

Chi supporta MCP nel 2026

A ottobre 2026 i principali assistenti supportano MCP, ciascuno a modo suo: conviene verificare cosa permettono il prodotto e il piano che usi.

Software e gestionali: dove esiste già un server MCP

Alcuni software diffusi tra le PMI hanno un server MCP ufficiale, con scelte diverse sulla scrittura. Quello di Stripe chiede una conferma umana per alcune azioni, come i rimborsi; quello di Microsoft Dynamics 365 Business Central parte in sola lettura; quello di HubSpot permette lettura e scrittura del CRM. Zoho ne ha uno per CRM, Desk e altri servizi; WooCommerce lo ha in anteprima per sviluppatori.

Per i gestionali italiani il quadro è diverso. A una verifica di ottobre 2026 non risultano server MCP ufficiali di TeamSystem, Zucchetti ERP, Danea o Passepartout; esistono server della comunità su GitHub, per esempio per Fatture in Cloud, da valutare con attenzione. Nei software verticali qualcosa si muove: nel turismo, Simple Booking del gruppo Zucchetti ha rilasciato il 10 giugno 2026 connettori MCP compatibili con ChatGPT e Claude.

Quando il produttore non offre un server ufficiale, se ne può costruire uno sopra le API del gestionale, cioè le interfacce con cui comunica con altri programmi, oppure sopra viste del database in sola lettura, se accessi e licenza lo consentono.

A cosa serve a una PMI: alcuni esempi

La domanda parte dall’assistente che il team usa già, la risposta arriva dai sistemi aziendali, senza cambiare programma. Questi sono esempi possibili, non casi cliente.

Rischi da conoscere e buone pratiche

Il rischio principale è la prompt injection indiretta: istruzioni nascoste in testi che l’AI legge, come un’email, un documento o un ticket, che l’AI può scambiare per ordini. Nell’aprile 2025 Invariant Labs ha descritto il «tool poisoning», istruzioni nascoste nelle descrizioni degli strumenti di un server MCP; a maggio 2025 ha mostrato come una segnalazione malevola aperta su GitHub potesse far uscire dati attraverso il server MCP di GitHub.

Lo sviluppatore Simon Willison chiama «trifecta letale» la combinazione più pericolosa: accesso a dati privati, esposizione a istruzioni ostili e un canale per mandare dati all’esterno. OWASP, la comunità di riferimento sulla sicurezza del software, segnala anche l’«excessive agency», cioè troppe funzioni, permessi o autonomia, e raccomanda l’approvazione umana per le azioni a impatto elevato.

Il 22 aprile 2026 il CERT-AgID ha pubblicato l’analisi di un abuso SSRF tramite uno strumento MCP, in cui il server veniva indotto a fare richieste verso indirizzi che non doveva raggiungere. La conclusione: «la protezione non può basarsi sull’assunzione di un uso corretto dei tool da parte del modello». Le buone pratiche, in parte già previste dalla specifica:

• Sola lettura nel primo rilascio; le scritture dopo, sempre con la conferma di una persona.
• Funzioni strette, con privilegi minimi per ciascuna, invece di un accesso generico al database.
• Un accesso personale per ogni utente tramite OAuth, mai una chiave condivisa; il server non accetta token emessi per altri servizi.
• Un elenco chiuso (allowlist) dei sistemi che il server può raggiungere, come raccomanda il CERT-AgID.
• Un registro di ogni chiamata, limiti di frequenza e nessun segreto, come password o chiavi, nelle risposte.
• Server ospitato in UE quando serve e contratti per il trattamento dei dati (art. 28 GDPR) con hosting e fornitore dell’assistente, da cui passano anche i dati letti.
• Una revisione a ogni nuova versione della specifica.

Come iniziare con un server MCP

Il modo più semplice per partire è anche il più prudente: poche funzioni, in sola lettura, su un solo assistente, con le persone che lo useranno davvero.

Scegli poche domande che il team fa spesso e che oggi richiedono di aprire il gestionale o di chiedere a un collega. Verifica come si leggono quei dati: server ufficiale del produttore, API o viste del database. Controlla cosa permette il piano del tuo assistente. Definisci chi può vedere quali clienti, ordini o documenti, prova con un piccolo gruppo e guarda il registro delle chiamate. Solo dopo valuta nuove funzioni o scritture con conferma.

In Virai, con sede a Deruta (Perugia), sviluppiamo server MCP per aziende dell’Umbria e, da remoto, di tutta Italia, partendo dalle domande del tuo team e dai permessi che esistono già nel gestionale. Se vuoi capire se il tuo gestionale si può collegare a un assistente AI, raccontaci come lavori.

Domande frequenti