MCP 생태계 232% 성장과 Linux Foundation 거버넌스 전환

2024년 11월 Anthropic이 오픈소스로 공개한 Model Context Protocol(MCP)은 16개월 만에 Python과 TypeScript SDK의 월간 다운로드 합계가 9,700만 건을 넘어섰다. 2025년 8월부터 2026년 2월까지 서버 생태계는 232% 성장했다. 여기에 2025년 12월 Linux Foundation 산하 Agentic AI Foundation(AAIF)으로 거버넌스가 넘어가면서, MCP는 특정 모델 사업자의 연결 규격을 넘어 중립적인 AI 에이전트 인프라로 자리 잡기 시작했다.

이 변화는 단순히 지원 도구가 늘었다는 의미에 그치지 않는다. 에이전트가 기업의 데이터와 업무 시스템에 접근하는 공통 경로가 만들어지고 있으며, 그 경로를 누가 관리하고 어떻게 통제할 것인지가 엔터프라이즈 아키텍처의 새로운 과제가 됐다.

LLM과 외부 시스템 사이의 연결 규격

LLM이 데이터베이스, 파일 시스템, 외부 API를 사용하려면 모델의 추론 결과와 실제 시스템의 실행 인터페이스를 이어야 한다. 벤더별 함수 호출 방식은 이 연결을 각자의 스키마로 구현한다. OpenAI Function Calling과 Anthropic Tool Use가 대표적이다.

MCP는 이 차이를 프로바이더에 독립적인 클라이언트-서버 프로토콜로 흡수한다. 서버는 자신이 제공하는 능력을 표준 형식으로 공개하고, Claude Desktop, VS Code, Cursor 같은 MCP Host는 이를 탐색해 모델에 전달한다.

서버가 노출하는 대상은 Tools, Resources, Prompts로 나뉜다.

Tools는 데이터베이스 쿼리, 외부 API 호출, 파일 조작처럼 LLM이 실행할 수 있는 함수다. 부수 효과가 발생하는 작업도 여기에 포함된다.
Resources는 파일 내용, DB 레코드, API 응답 캐시처럼 모델 컨텍스트에 읽기 전용으로 주입하는 데이터다.
Prompts는 반복 작업에 사용할 수 있는 파라미터화된 프롬프트 템플릿이다.

이 구분 덕분에 실행 기능, 참조 데이터, 작업 템플릿을 하나의 서버에서 제공하면서도 클라이언트가 각각의 용도를 식별할 수 있다.

로컬 프로세스와 원격 서버를 연결하는 전송 계층

로컬 도구는 표준 입출력 스트림을 사용하는 stdio 전송으로 연결할 수 있다. 별도의 네트워크 구간 없이 프로세스 사이에서 직접 통신하므로, 보안 격리 환경에서 민감한 데이터를 처리하는 구성에도 맞는다.

원격 환경에서는 Streamable HTTP를 사용한다. 클라이언트에서 서버로 보내는 HTTP POST와 서버에서 클라이언트로 전달하는 SSE(Server-Sent Events) 스트리밍을 결합하며, Bearer 토큰, API 키, 커스텀 헤더 같은 HTTP 인증 방식을 적용할 수 있다.

전송 방식이 달라도 메시지 형식은 JSON-RPC 2.0으로 통일된다. 연결을 초기화할 때 클라이언트와 서버가 프로토콜 버전과 지원 기능을 협상하는 라이프사이클도 포함한다.

⤢✕

기업 환경에서는 권한 위임까지 설계해야 한다

MCP 연결이 기업 데이터와 실행 기능에 닿으면 인증만으로는 충분하지 않다. 사용자를 대신해 서버 리소스에 접근하는 클라이언트는 OAuth 2.0 기반으로 토큰을 발급받고 갱신하며, 서버마다 필요한 범위로 권한을 제한해야 한다.

최소 권한 원칙은 MCP 서버별 Scope에 반영한다. 도구 호출 이력은 MCP Proxy 같은 엔터프라이즈 게이트웨이를 통과시키고 감사 로그로 남겨야 한다. 모델, 클라이언트, 서버가 연쇄적으로 연결되는 구조에서는 어느 주체가 어떤 권한으로 무엇을 실행했는지 추적할 수 있어야 하기 때문이다.

서버 생태계가 빠르게 커진 배경

2026년 5월 기준 MCP 생태계의 규모는 여러 지표에서 확인된다.

Python과 TypeScript SDK의 월간 다운로드 합계는 9,700만 건이며, 2024년 11월 출시 시점 대비 약 4,750% 성장했다.
공식 MCP 레지스트리에는 최신 서버 레코드 9,652개가 등록돼 있다.
GitHub의 mcp-server 토픽 레포지토리는 15,926개다.
Fortune 500 기업 가운데 약 28%가 AI 스택에 MCP 서버를 적용했다.
Anthropic 공인 커넥터는 75개 이상이다.
에디터, 채팅 앱, 엔터프라이즈 플랫폼에 통합된 MCP 클라이언트는 300개 이상이다.

확산의 첫 번째 계기는 주요 AI·클라우드 기업의 수용이었다. 2025년 3월 OpenAI가 Agents SDK와 ChatGPT Desktop에 MCP를 공식 채택했고, Google, Microsoft, AWS, Block도 지지를 표명했다. 경쟁 사업자가 만든 프로토콜을 자사 제품에 받아들인 사건은 MCP가 공통 인프라로 이동하는 전환점이 됐다.

두 번째 계기는 거버넌스의 독립이다. Anthropic은 2025년 12월 9일 MCP를 Linux Foundation 산하에 새로 설립된 AAIF에 기증했다. 단일 상업 벤더가 소유한 프로토콜에 대해 기업 IT 조직이 우려하던 거버넌스 위험을 줄이는 조치였다. 2026년 5월 기준 AAIF 회원 조직은 190개다.

개발자가 서버를 만들고 연결하기 쉬웠다는 점도 중요하다. Python, TypeScript, Java, C# SDK가 제공되고, 기존 REST API나 GraphQL 서비스를 MCP 서버로 감싸는 진입 장벽이 낮았다. Stacklok의 2026년 소프트웨어 리포트에서는 조사 대상 소프트웨어 조직의 41%가 프로덕션 환경에서 MCP 서버를 운영하는 것으로 나타났다.

⤢✕

AAIF가 관리하는 표준화 체계

AAIF는 Linux Foundation의 Directed Fund 방식으로 설립됐으며 MCP와 A2A(Agent-to-Agent) 프로토콜을 중립적으로 관리한다. 창립 멤버는 Anthropic, OpenAI, Block이고 Google, Microsoft, AWS, Samsung 등도 참여한다.

프로토콜 사양과 로드맵은 기술 운영위원회(TSC)가 다룬다. AAIF 기준을 통과한 서버에는 공인 커넥터 지위를 부여하며, 2026년 5월 기준 75개 이상의 서버가 여기에 포함된다. 중앙화된 CVE 공개 절차와 클라이언트-서버 상호 운용성 테스트 스위트도 품질 관리 체계의 일부다.

⤢✕

공개 MCP 서버가 10,000개를 넘는 상황에서는 서버가 존재한다는 사실과 기업 환경에 배포할 수 있다는 판단을 구분해야 한다. AAIF 공인 커넥터는 Tier 1로 분류되며 보안 심사, 성능 테스트, SLA 보장을 통과한 75개 이상의 공식 서버가 해당한다. MCP Registry에 등재되고 자동화된 호환성 테스트를 통과한 서버는 Tier 2다. GitHub에 공개된 커뮤니티 서버는 Tier 3로 보고, 도입 전에 별도의 보안 검토를 거쳐야 한다.

MCP 서버를 신뢰하기 전에 확인할 공격면

악성 MCP 서버는 도구 설명이나 반환 데이터를 통해 프롬프트 인젝션을 유발하고 모델의 행동을 바꿀 수 있다. 이런 Tool Poisoning에 대응하려면 공인 레지스트리의 서버만 허용하는 화이트리스트 정책이 필요하다.

서버 사이의 권한이 잘못 위임되는 Confused Deputy 공격도 고려해야 한다. OAuth 2.0 Scope를 최소화하고 서버를 서로 격리해 권한 혼동이 다른 시스템으로 번지는 것을 막는다.

기업 내부의 MCP 트래픽은 단일 MCP 게이트웨이로 모아 중앙 정책과 감사를 적용할 수 있다. AAIF 공인 커넥터를 사용할 때는 디지털 서명을 검증해 공급망 신뢰도 함께 확인한다.

MCP와 A2A, Function Calling의 경계

비슷해 보이는 에이전트 프로토콜도 해결하려는 연결 구간은 다르다.

구분	MCP	ACP/A2A	OpenAI Function Calling
목적	모델↔도구 연결	에이전트↔에이전트 통신	모델↔함수 실행
거버넌스	Linux Foundation (AAIF)	Linux Foundation (A2A로 통합)	OpenAI 단독
벤더 중립성	완전 중립	완전 중립	OpenAI 종속
엔터프라이즈 채택률	78% (AI팀 프로덕션 운용)	초기 도입 단계	GPT 모델 전용
서버 생태계	10,000+	초기	해당 없음
표준 기반	JSON-RPC 2.0	REST/gRPC	OpenAI 독점 스펙

OpenAI Function Calling은 OpenAI의 function calling 스키마에 맞춰 함수를 실행한다. Anthropic은 tool use라는 별도 스키마를 사용한다. 프로바이더를 바꾸면 이 차이에 대응하는 재개발 비용이 발생하는 벤더 락인 구조다.

MCP는 프로바이더 불가지론 설계를 택한다. 같은 MCP 서버를 OpenAI 모델과 Anthropic 모델에서 코드 수정 없이 사용할 수 있으므로 멀티 LLM 전략에 유리하다. 표준화된 인터페이스와 서버 생태계, 중립 거버넌스도 MCP의 강점이다. 반대로 OpenAI Function Calling은 OpenAI 모델에서 파라미터를 더 세밀하게 제어할 수 있고 설정 복잡도가 낮다.

신규 에이전트 시스템에서는 MCP 기반 구조를 우선 검토할 수 있다. 이미 OpenAI 전용으로 운영 중인 환경이라면 기존 함수를 한꺼번에 교체하기보다 MCP 래퍼 계층을 점진적으로 추가하는 방식이 맞는다.

IBM이 주도했던 ACP(Agent Communication Protocol)는 에이전트 사이의 보안 통신과 트랜잭션 무결성, 감사 가능한 멀티 에이전트 협업에 초점을 맞췄다. ACP는 2026년 상반기 A2A 프로토콜로 통합돼 Linux Foundation에서 공동 관리되고 있다.

현재 역할 구분은 분명하다. MCP는 에이전트와 도구를 연결하며 즉시 적용할 수 있는 성숙한 생태계를 갖췄다. A2A는 에이전트 사이의 위임과 협상을 담당하고 2026년 하반기 안정화가 예상된다. 멀티 에이전트 시스템에서는 도구 접근에 MCP를, 에이전트 조율에 A2A를 결합하는 구성이 권장된다.

⤢✕

EAI와 ESB 이후의 통합 레이어

25년간의 시스템 통합 경험에서 보면 MCP는 EAI(Enterprise Application Integration)와 ESB(Enterprise Service Bus)가 맡았던 이기종 연계 역할을 에이전트 환경에 맞춰 다시 구성한 아키텍처다.

EAI와 ESB는 시스템 사이의 데이터 교환, 메시지 변환과 라우팅, 어댑터 패턴을 중심으로 동작한다. MCP 게이트웨이는 에이전트와 도구·서비스를 연결하면서 컨텍스트를 주입하고 서버의 기능을 프리미티브로 노출한다. 기업 아키텍처에서는 이를 기존 통합 시스템을 대체하는 단일 기술이라기보다 AI 에이전트를 위한 새로운 통합 레이어로 배치해야 한다.

기업 도입은 인벤토리에서 시작한다

먼저 기존 REST API, GraphQL, gRPC 서비스를 목록화하고 데이터 조회나 업무 자동화처럼 에이전트 활용 가치가 높은 대상을 가려낸다. 외부 MCP 서버가 필요하다면 AAIF Tier 1 공인 커넥터 가운데 기업 환경에 맞는 서버부터 검토한다.

다음으로 엔터프라이즈 MCP Proxy를 DMZ에 배치해 에이전트의 도구 트래픽을 중앙에서 관리한다. SSO(Single Sign-On)와 IAM을 연결해 권한 위임 구조를 만들고 감사 로그와 이상 탐지 시스템도 연동한다.

내부 서비스는 Python SDK 또는 TypeScript SDK로 감싸 자체 MCP 서버로 제공할 수 있다. CI/CD 파이프라인에는 MCP 서버 호환성 테스트를 포함하고, 프로덕션에서는 응답 지연과 오류율, 토큰 사용량을 추적한다.

A2A 프로토콜이 안정화되면 에이전트 간 협업 계층을 추가한다. 이때 MCP는 도구 접근을, A2A는 분산 에이전트의 조율을 맡는다.

⤢✕

운영 정책에 포함할 보안 통제

ISMS 적합성을 함께 검토하는 환경이라면 MCP 서버별로 최소 권한을 부여하고 권한을 주기적으로 재검토해야 한다. 전송 구간에는 TLS 1.3 이상을 적용하고, 저장되는 민감 데이터도 암호화한다.

공급망 측면에서는 AAIF 공인 커넥터를 우선 채택하되 비공인 서버를 위한 별도 보안 심사 절차를 마련한다. AAIF의 CVE 공개 프로세스를 구독하고 조직의 패치 주기 정책과 연결하는 작업도 필요하다. 모든 도구 호출 이력은 90일 이상 보관해 금융·공공기관의 규제 요구사항에 대응한다.

2026년 로드맵이 향하는 곳

MCP 공식 블로그가 발표한 2026년 로드맵은 원격 서버의 운영 기반을 다지는 데 초점을 둔다. Streamable HTTP의 인증·권한 부여 스펙을 완성해 원격 MCP 서버의 프로덕션 배포를 가속하고, MCP를 통한 서브 에이전트 호출 패턴을 공식화해 A2A와의 역할을 구분한다.

Resources 프리미티브는 이미지, 오디오, 비디오 스트리밍을 지원하는 방향으로 확장된다. 서버 품질 인증은 AAIF가 주도하는 공식 레지스트리 거버넌스를 통해 자동화될 예정이다.

MCP 생태계가 이끄는 AI 에이전트 도구 시장은 2025년 18억 달러 규모에서 2028년까지 연평균 60% 이상 성장할 것으로 예측된다. 헬스케어, 금융, 제조업처럼 규제가 강한 산업에서는 엔터프라이즈급 MCP 게이트웨이 수요가 급증할 전망이다.

Fortune 500 기업의 28% 도입률은 18개월 만에 달성됐다. REST API 표준화가 진행된 2000년대 초나 OAuth 2.0의 도입 곡선과 비교해도 빠른 확산이다. Stacklok 통계에서 엔터프라이즈 AI팀의 78%가 프로덕션 환경에 MCP 기반 에이전트를 운영한다는 결과는 MCP가 실험 단계를 지나 인프라 영역으로 이동했음을 보여준다.

MCP는 16개월 만에 월간 9,700만 다운로드와 10,000개 이상의 서버 생태계에 도달했다. Linux Foundation 산하 AAIF로의 이관은 조직 변경을 넘어 상업적 이해관계에서 독립된 거버넌스를 마련한 사건이다. 기업에서 이 표준을 도입하려면 공인 커넥터 선택에만 머물지 않고 MCP 게이트웨이, 권한 위임, 감사 추적과 공급망 검증을 하나의 운영 구조로 설계해야 한다. MCP와 A2A의 결합이 안정되면 에이전트와 도구, 에이전트와 에이전트 사이의 연결을 각각 표준 인터페이스로 다룰 수 있게 되고 엔터프라이즈 AI 시스템 통합의 복잡성도 낮아질 것으로 전망된다.