MCP가 뭐길래 다들 붙이나요? 챗GPT·클로드 연결 전 확인할 5가지

MCP(모델 컨텍스트 프로토콜)는 클로드나 챗GPT 같은 AI 어시스턴트가 노션·구글드라이브 같은 외부 도구에 표준화된 방식으로 연결하게 해주는 개방형 프로토콜이에요. 월 다운로드는 2025년 12월 기준 9,700만 회였는데 2026년 7월 기준 Tier 1 SDK 합산으로는 약 5억 회까지 늘었고, 등록 서버도 약 9,600여 개(2026년 5월 기준)까지 커졌어요. 그런데 정작 서버 하나 붙이기 전에 뭘 확인해야 하는지는 잘 안 알려져 있죠.

저도 클로드 데스크톱 설정 화면에서 “MCP 서버 추가” 버튼을 처음 눌렀을 때 뭘 눌러야 할지 몰라 한참 멈칫했던 기억이 있어요. 설치 가이드는 넘치는데, “이 서버 믿고 붙여도 되나”를 개인이 확인하는 방법은 검색해도 잘 안 나오더라고요. 기업 보안팀용 문서는 용어부터 너무 어렵고요.

숫자로 보는 확산 속도 — 다운로드 9,700만→5억·서버 9,600여 개

MCP는 2024년 11월 앤트로픽이 처음 공개했어요. 2025년 12월 기준으로 월간 다운로드는 9,700만 회를 찍었고, 2026년 7월 28일 스펙 릴리스 발표 시점에는 TypeScript·Python SDK가 각각 누적 10억 다운로드를 넘겼습니다. 같은 시점 기준 Tier 1 SDK 전체 합산 월간 다운로드는 약 5억 회까지 늘었고요. 반년여 만에 5배 넘게 뛴 셈이니 확실히 예외적인 확산이죠. 공식 레지스트리에 등록된 서버 수도 한 3자 조사(2026년 5월 24일 기준)로는 약 9,600여 개(누적 약 2만 9천 개)에 달한다고 하고요.

지표	수치	기준 시점
SDK 월간 다운로드	9,700만 회	2025년 12월(2026-07 기준 Tier 1 합산 약 5억 회로 급증)
SDK 누적 다운로드(TS·Python 각각)	10억+	2026년 7월 28일
공식 레지스트리 등록 서버	약 9,600여 개(누적 약 2만 9천 개)	2026-05-24(3자 조사 기준)
GitHub ‘mcp-server’ 토픽 저장소	15,926개	2026-05-24 기준
대표 저장소 modelcontextprotocol/servers 스타	86,148개	2026-05-24 기준
기업 도입 — 제한적+광범위 운영 단계	41%(29/30/29/12%)	2026년 스택록 보고서

기업 쪽 수치도 흥미로운데요, 스택록의 2026년 소프트웨어 보고서를 보면 계획·평가 단계가 29%, 파일럿이 30%, 제한적 운영이 29%, 광범위 운영이 12%로 나뉘어요. 아직 도입 초기 기업이 절반 넘게 남아 있다는 뜻이지만, 실제로 운영 단계(제한+광범위)까지 간 곳도 이미 41%나 됩니다. 개인 사용자 체감보다 뒤에서 훨씬 빠르게 자리 잡고 있다는 거죠.

숫자만 보면 이미 표준이에요.

왜 지금 이렇게 커졌나 — 리눅스재단 이관과 빅테크 합류

속도가 붙은 배경은 크게 두 가지예요. 하나는 표준화, 다른 하나는 대형 플랫폼들의 잇단 합류입니다. 2024년 11월 앤트로픽이 MCP를 공개한 뒤 OpenAI·구글·마이크로소프트·세일즈포스가 13개월 안에 잇달아 지원을 추가했어요. 특정 회사 혼자 밀던 기술이 아니라 업계 전체가 같은 방향으로 움직인 셈이죠.

결정적인 건 2025년 12월 9일이었어요. 앤트로픽이 MCP를 리눅스재단 산하 Agentic AI Foundation에 기부하면서, Anthropic·Block·OpenAI가 공동 창립사로 이름을 올렸고 AWS·구글·마이크로소프트·Cloudflare·Bloomberg가 지원 멤버로 참여했습니다. 한 회사 소유가 아니라 중립 재단 아래로 옮겨간 순간부터 “이 프로토콜은 계속 유지된다”는 신뢰가 생긴 거예요. 이게 개발자들이 안심하고 MCP 서버를 계속 만들어 올리는 이유이기도 하고요.

설치는 쉬운데 위험은 안 보인다

여기서부터가 진짜 문제예요. MCP 서버 연결은 클릭 몇 번이면 끝나는데, 그 서버가 뭘 할 수 있는지는 화면에 잘 안 보이거든요. 보안 업체 백슬래시시큐리티가 공개된 MCP 서버 7,000개 이상을 분석했더니 악성·저품질 사례가 다수 발견됐어요.

인버리언트랩스는 2025년 4월, 악성 서버가 명령 삽입 방식으로 보안 장치를 우회할 수 있다는 걸 실제로 시연했어요. 겉으로는 평범한 도구 설명문처럼 보이는 텍스트 안에 숨겨둔 명령을 AI 어시스턴트가 그대로 따라가버려서, 사용자가 승인 버튼을 누른 적도 없는 동작이 서버 쪽 지시만으로 통과됐다는 게 핵심이에요.

이게 진짜 무서운 대목이에요. 사용자가 뭘 잘못 누른 게 아니라, 서버를 하나 붙이는 그 순간부터 이미 위험이 시작될 수 있다는 뜻이니까요.

근본 원인은 MCP 설계 자체에 있어요. 인증이 필수가 아니라 선택 사항으로 설계돼 있어서, 서버 제작자가 넣지 않으면 없는 상태예요. 그래서 토큰이 탈취되면(예를 들어 지메일 연동 시 전체 메일함 접근에 발신·삭제·자동전달 설정까지 가능해지는 식으로) 이게 정상 API 호출처럼 보여서 탐지가 어렵다는 게 실무 보안팀들이 공통으로 꼽는 위험이에요.

붙이기 전 30초 체크리스트 5가지

기업 보안팀이 보는 10대 위험(테넌트 격리, 토큰 암호화, 컴포저빌리티 체이닝 등)을 그대로 읽으면 개인은 뭘 해야 할지 감이 안 와요. 그래서 설치 화면에서 실제로 확인 가능한 항목 5개로 옮겨봤어요.

번호	확인할 것	화면에서 이렇게 확인
①	권한이 기능보다 넓지 않은가	노션 전체 읽기·쓰기를 요구하는데 특정 페이지 요약만 쓸 거라면 과다 권한. 요청 스코프 목록을 읽어본다.
②	제작자·출처가 확인되는가	공식 레지스트리 등록 서버인지, 아니면 이름만 비슷한 개인 저장소인지 GitHub 프로필·커밋 이력을 본다.
③	토큰·자격증명이 평문 저장되지 않는가	서버 설정 파일(config.json 등)에 API 키가 그대로 노출되는 구조면 위험 신호.
④	다른 도구 이름을 사칭하지 않는가	이미 붙인 서버와 이름·설명이 비슷한 신규 서버가 뜨면 ‘도구 그림자’일 수 있으니 원본과 대조.
⑤	안 쓰는 서버가 계속 연결돼 있진 않은가	설정 > MCP 목록을 3개월에 한 번은 열어서 안 쓰는 서버는 바로 연결 해제.

지난번 바이브코딩 앱 보안 체크리스트 글에서도 얘기했지만, AI 도구는 “일단 붙이고 나중에 정리”가 제일 위험한 패턴이더라고요. 저도 이 체크리스트로 붙여둔 노션 MCP 서버를 다시 열어봤는데, 실제로 워크스페이스 전체 읽기·쓰기 권한을 요구하고 있었어요. 제가 쓰는 건 회의록 페이지 하나 요약뿐인데 말이죠. 권한 범위를 특정 페이지로 좁혀서 다시 연결했더니 그제야 마음이 편해지더라고요.

아 근데 다시 생각해보니, 권한만 좁힌다고 완전히 안전해지는 건 아니겠더라고요. 서버 자체가 악성이면 좁은 권한 안에서도 문제를 일으킬 수 있으니까요. 그래도 새는 범위 자체를 줄일 수 있으니 안 하는 것보단 나아요.

2026-07-28 스펙 개정으로 인증이 더 까다로워진 이유

이런 위험들이 쌓이면서 프로토콜 자체도 손보고 있어요. 2026년 7월 28일 개정된 MCP 스펙은 세션ID·초기화 절차를 없앤 stateless 구조로 바뀌었어요. 매번 새로 연결을 확인하는 방식이라 이해하면 됩니다. 동시에 RFC 9207 기준 발급자 검증을 의무화하고, Dynamic Client Registration을 단계적으로 폐지해서 인증을 더 엄격하게 만들었어요.

이걸 개인 입장에서 풀면 “아무 서버나 등록만 하면 클라이언트가 자동으로 믿어주던” 구조가 좁혀진다는 뜻이에요. 당장 체감은 안 되겠지만, 클로드나 챗GPT 앱을 업데이트하다가 “이 서버는 재인증이 필요합니다” 같은 메시지가 뜨면 이 개정 때문이라고 보면 됩니다. 번거롭다고 그냥 넘기지 말고, 그 서버가 여전히 위 체크리스트 5개를 통과하는지 한 번 더 봐주세요.

세션ID를 없앤 stateless 구조는 공격자가 예전 세션 정보를 가로채 재사용하는 방식의 공격을 어렵게 만든다는 실용적 의미도 있어요. 매번 새로 인증을 거치니까 한 번 뚫렸다고 계속 뚫려 있는 상태가 안 되는 거죠. 다만 이건 프로토콜 차원의 방어일 뿐, 서버 제작자가 애초에 인증을 안 넣었다면 이 개정도 소용없다는 점은 여전해요. 결국 위 5가지 체크리스트가 먼저라는 얘기입니다.

MCP는 이제 되돌리기 힘든 흐름이 됐어요. 그렇다고 나오는 서버를 다 의심할 필요는 없지만, 붙이기 전 30초는 확실히 투자할 가치가 있다고 봐요. 저는 앞으로 새 서버를 연결할 때마다 이 표를 다시 열어볼 생각이에요.