Model Context Protocol (MCP), yapay zeka ajanlarinin araçlara ve veri kaynaklarina baglanmasi için ortaya çikti ve simdiden bu alanin varsayilan standardi haline geldi. Anthropic tarafindan 2024'de tanitilan MCP, bir yil içinde OpenAI, Google ve Microsoft gibi devlerin destegiyle büyüdü ve Linux Vakfi'na devredildi. Peki MCP tam olarak nedir, neden bu kadar hizli benimsendi ve gelisen güvenlik sorunlari neler?

MCP Nedir?

Model Context Protocol, bir yapay zeka modelinin dis dünyaya açilan kapisi olarak düşünülebilir. Bir ajan (AI agent), bir dil modelinin çevresine inşa edilen yazilim sistemidir ve bu sistemin araçlar, veritabanlari, API'ler ve dosya sistemleriyle iletişim kurabilmesi gerekir. MCP, bu iletişim için standart bir protokol sunar. Bir nevi "USB-C" gibi: her ajan ve her araç ayni standart üzerinden konusur.

2026 yilina gelindiginde, MCP'nin Tier 1 SDK'lari (TypeScript, Python, Go, C#) aylik yarim milyar indirme rakamina ulasti. TypeScript ve Python SDK'lari toplam 1 milyar indirme eşiğini geçti. Bu rakamlar, protokolün ne kadar hizli benimsendigini gösteriyor.

2026-07-28 Spec: Stateless Devrim

MCP'nin 28 Temmuz 2026'da yayınlanan yeni spec versiyonu, protokolde temel bir değişik getirdi: stateless protocol core. MCP, artik iki yönlü, durum tutan (stateful) bir protokolden, request/response tabanli, durumsuz (stateless) bir protokole dönüştü.

Bu ne demek? Önceden, MCP istemcileri ve sunuculari arasinda sürekli bir bağlantı (session) olurdu. Yeni spec ile her istek kendi başina gelir: protokol versiyonunu, istemci kimligini ve yeteneklerini taşir. Bir load balancer arkasindaki herhangi bir sunucu örnegini istegi alabilir. Bu, ölçeklenebilirlik açisindan çok önemli bir adim.

Yeni spec'in önemli değişiklikleri sunlar:

• Oturum ve el sikisma (handshake) kaldirildi: initialize/initialized değiş-tokuşu ve Mcp-Session-Id header'ı emekliye ayrildi.
• Header tabanli yönlendirme: Mcp-Method ve Mcp-Name HTTP header'lari, gateway'lerin JSON body parse etmeden yönlendirme ve yetkilendirme yapmasini sağlar.
• Multi Round-Trip Requests (MRTR): Araç çağrisi sirasinda sunucunun istemciden ek bilgi istemesi (örnegin onay veya eksik parametre) artik durumsuz protokol üzerinden mümkün.
• Cache hint'leri: Liste cevaplari ttlMs ve cacheScope taşir, böylece istemciler araç kataloglarini cache'leyebilir.
• Authorization sikişlastirma: OAuth 2.1, PKCE ve audience-bound token'lar standart hale geldi.

Güvenlik: OWASP MCP Top-10 ve Gerçek Rakamlar

MCP'nin büyümesi, güvenlik araştirmalarini da beraberinde getirdi. OWASP, MCP için özel bir Top-10 listesi yayinladi (beta olarak). Bu liste, MCP sunucularindaki en yaygin güvenlik açiklarini siraliyor.

wmcp.sh tarafindan yapilan bir denetim, 1,787 MCP sunucusunu inceledi ve çarpici sonuçlar verdi:

• Ortalama güven skoru 60/100
• Sunucularin %46'si D veya F notu aldi
• Yalnizca %41'i A veya B notu aldi
• En yaygin zayiflik: sunucularin %49'u erişilemez durumda (dead/unresponsive)
• Gerçek güvenlik açiklari (credential exfiltration, plaintext transport) yaklaşik %1 seviyesinde

Yani düşük notlarin asil nedeni güvenlik açiklari değil, sunucularin erişilememesi ve şeffaflik sinyallerinin olmamasidir. Yine de bu, ekosistemin olgunlaşmadiğini gösteriyor.

Microsoft'un Güvenlik Roadmap'i

Microsoft, Haziran 2026'da MCP güvenliği üzerine detayli bir rehber yayinladi. 2026 itibariyla alti ana risk belirledi:

Prompt injection ve tool poisoning: Bir aracin tanim veya semasina gizlenen kötu niyetli talimatlar, ajani yanliş yönlendirebilir. Korunma: araç tanimlarini ve çiktilarini güvenilmez veri olarak ele almak ve insan onayi süreçlerinden geçirmek.

Authorization ve confused deputy: MCP sunuculari, OAuth 2.0 resource server olarak ele alinmali. Yeni spec, OAuth 2.1, PKCE ve audience-bound token'lari zorunlu kiliyor.

Over-broad access: Tek bir MCP sunucusunun birden çok sistem için geniş yetkileri olmamali. Least privilege (en az yetki) ilkesi uygulanmali.

Supply chain ve rug pulls: Onaylanmiş bir sunucunun sonradan değişmesi ("rug pull" saldirisi). Onay tek seferlik olmamali, araç tanimlarindaki değişiklikler izlenmeli.

Shadow MCP: Kayit disi, denetlenmeyen MCP sunuculari. Görünürlük, bir runtime gateway ile sağlanmali.

Command injection ve sandbox escape: Lokal MCP sunuculari, sanitize edilmemiş girdileri shell'e geçirirse, komut enjeksiyonu veya path traversal oluşabilir. Sandboxing ve input validation kritik.

Agent-to-Agent Protokolleri

MCP, ajanin araçlara baglanmasini sağlar. Peki ajanlar birbiriyle nasil konusur? Bu alan hala olgunlaşma aşamasinda. IBM'in ACP (Agent Communication Protocol) ve Google'in A2A (Agent-to-Agent) protokolleri mevcut, ancak henüz standartlaşmamiş durumdalar.

Browser Use projesi, 78 bin GitHub yildiziyla, ajanlarin web tarayicilarini kullanmasi için popüler bir araç olarak öne çikiyor. Bu da MCP ekosisteminin bir parçasi olarak değerlendirilebilir.

Sonuç

MCP, bir buçuk yil içinde yerel bir entegrasyon aracindan kurumsal ölçekte bir protokole dönüştü. 28 Temmuz 2026 spec'i, stateless mimari ile ölçeklenebilirlik açisindan önemli bir adim. Ancak güvenlik, hala uygulama kalitesine bağlı. Protokol güvenliği sağlamiyor; güvenlik kararlarini geliştiricilere birakiyor.

Linux Vakfi'na devredilmesi, protokolün satin bağımsizligini ve çok paydaşli yönetişimini güçlendiriyor. OWASP Top-10 ve wmcp.sh denetimleri, ekosistemin olgunlaşma aşamasinda olduğunu gösteriyor. Kurumsal adopter'lar için, gateway tabanli güvenlik yaklasimi ve süreğli denetim, öne çikan kontrol mekanizmalari.

MCP'nin geleceği parlak ama yol uzun. Standartlaşma hızli, ama güvenli kurumsal kullanım için henüz erken.

Kaynaklar:

• The state of MCP security in 2026 - Microsoft Security Blog
• The 2026-07-28 Specification - MCP Blog
• State of MCP Security 2026 - wmcp.sh
• MCP Authorization Security Considerations
• New Enterprise-Ready MCP Specification - SecurityWeek