Model Context Protocol, iki yıldan kısa sürede ilginç bir spesifikasyondan AI ajanlarının araçlara ulaşmasının varsayılan yoluna dönüştü. Kodlama asistanları depolarınızı onun üzerinden sorguluyor. Destek copilot'ları destek kayıtlarını onun üzerinden okuyor. Şirket içi otomasyonlar finans sistemlerini onun üzerinden çağırıyor. Bu bağlantıların her biri bir MCP sunucusu — ve her MCP sunucusu, önem verdiğiniz bir şeye açılan bir kapı.
İşin rahatsız edici kısmı şu: çoğu kurum MCP sunucularının listesini bile çıkaramıyor; kimin hangi araca hangi sunucu üzerinden çağrı yapabildiğini söylemek ise tamamen imkânsız.
MCP erişim tablosunu neden değiştirdi
MCP'den önce bir AI ajanını bir sisteme bağlamak özel entegrasyon işi demekti — yavaştı ama en azından görünürdü. MCP bu sürtünmeyi ortadan kaldırdı. Herkes bir istemciyi bir sunucuya yönlendirip tek seferlik OAuth onayı verebiliyor ve ajan üretim verisi üzerinde canlıya geçiyor.
Protokolün kendisi sağlam bir zemine yaslanıyor: MCP'de yetkilendirme OAuth 2.1 üzerine kurulu; her MCP sunucusu bir resource server gibi davranıyor. Ama bir standart yalnızca neyin mümkün olduğunu tanımlar — kurumunuzun gerçekte neyi uyguladığını değil. Pratikte üç boşluk hemen ortaya çıkıyor:
- Aşırı yetkili, uzun ömürlü token'lar. Tek bir iş için verilen token, süresiz olarak her iş için çalışmaya devam ediyor. Token'ı tam olarak tek bir MCP sunucusuna bağlayan audience binding (RFC 8707 resource indicators) hâlâ istisna, kural değil.
- Merkezi envanter yok. MCP sunucuları, hangi ekibin ihtiyacı varsa orada beliriyor. Daha önceki gölge yapay zekâ dalgası gibi gölge MCP de varsayılan olarak görünmez: kayıt yok, sahip yok, yaşam döngüsü yok.
- Çağrı bazında kontrol yok. OAuth "bu istemci bağlanabilir mi?" sorusuna yanıt verir. "Bu ajan cuma gecesi, güvenilmeyen bir dokümandan gelen bir prompt'la
delete_recordsçağırabilir mi?" sorusuna vermez. İşte o son soru, prompt injection'ın yardımsever bir ajanı saldırı vektörüne dönüştürdüğü yerdir.
MCP gateway gerçekte ne yapar
MCP gateway, kurumunuzdaki her MCP istemcisi ile her MCP sunucusunun arasında durur — doğrudan bağlantılardan oluşan bir ağ yerine tek bir denetim noktası. Bu konum, ona hiçbir sunucunun tek başına yapamayacağı şeyleri yaptırır:
Her şeyi IdP'nize karşı doğrular. Ajanlar anonim API trafiği olmaktan çıkar. Her istemci; sahibi, amacı ve yaşam döngüsü olan bir insan-dışı kimliğe eşlenir — servis hesaplarına uyguladığınız disiplinin aynısı.
Sunucu bazında değil, araç bazında yetkilendirir. Bir sunucuya bağlanabilmek, sunduğu her aracı kullanabilmek demek değildir. Gateway politikayı araç çağrısı düzeyinde uygular: bu ajan read_invoices çağırabilir, approve_payments çağıramaz, yıkıcı her işlem için insan onayı gerekir.
Kimlik bilgilerini daraltır ve kısaltır. Ajanlara kalıcı sırlar vermek yerine gateway kısa ömürlü, audience-bağlı token'lar aracılık eder — sızan bir kimlik bilgisi aylar değil dakikalar eder.
Her çağrıyı kaydeder. Kim, hangi aracı, hangi argümanlarla, kimin adına çağırdı ve ne döndü? Bir ajan yoldan çıktığında — ya da bir denetçi sorduğunda — yanıt bir arkeoloji kazısı değil, bir sorgudur.
Kill switch. Bir şeyler ters gittiğinde tek gateway'de tek kimliği iptal edersiniz; o ajanın tuttuğu bütün bağlantılar onunla birlikte ölür.
Pazar bu kalıba yakınsıyor
Bu niş bir fikir değil. Pazardaki kimlik üreticileri peş peşe agent gateway'ler, ajan kayıt sistemleri ve AI için çalışma-anı yetkilendirmesi duyuruyor — çünkü her CISO'nun sorduğu üç soru aynı: Ajanlarım nerede? Neye bağlanıyorlar? Gerçekte ne yapabiliyorlar? Gateway, ikinci ve üçüncü soruyu elektronik tabloyla değil, yaptırımla yanıtlamanın yoludur.
Alternatif — her ekibin her MCP sunucusunu sonsuza dek doğru yapılandıracağına güvenmek — kurumların bir zamanlar yönetilmeyen SaaS için oynadığı bahsin aynısı. O da iyi bitmemişti.
Monofor bu tabloda nerede
Monosign'ın MCP Gateway'i tam olarak bu modeli uygular: ajanlar kimlik sağlayıcınız üzerinden doğrulanır, her araç çağrısı politikadan geçer, hassas işlemler insan onayına bağlanabilir ve tüm çağrı geçmişi denetim izinize düşer. AI ajan kimlikleriyle birlikte çalışır; böylece her ajanın bir sahibi, korkulukları ve yaşam döngüsü olur — yetkilendirme modelin dışında yaşar, prompt injection oraya ulaşamaz.
Ajanlarınız üretime MCP üzerinden ulaşıyorsa — kodlama asistanınız varsa ulaşıyordur — envanter sorusu bir meslektaştan değil denetçiden gelmeden önce araya bir gateway koyun.
Devamı için: AI Ajanlarınızın Zaten Erişimi Var. Onlara Kimlik Verin. ve agentic AI güvenliği sözlük maddesi.
