מה זה MCP Servers וכל מה שלא העזתם לשאול

הבעיה של AI coding כמעט אף פעם לא מתחילה ביכולת לכתוב קוד. היא מתחילה רגע קודם: המודל לא מכיר את ה-repo, לא ראה את ה-ticket, לא יודע מה הוחלט ב-Figma, ולא מחזיק את ההקשר העסקי שאצלכם הוא מובן מאליו. מה זה MCP Servers בהקשר הזה? דרך לתת ל-agent גישה מבוקרת לכלים ולמקורות מידע, כדי שלא ינחש. אור כהן, VP Architecture ב-Melio, מציע להסתכל על זה פחות כעל קסם ויותר כעל שכבת הקשר. כשהיא בנויה טוב, היא מקצרת איטרציות ומחברת את ה-AI ל-workflow אמיתי. כשהיא בנויה רע, היא מעמיסה על ה-context window, מבלבלת את המודל, או פותחת פתח לסיכון מיותר.

מה זה MCP Server ולמה הוא משנה את הקונטקסט של ה-AI

MCP הוא Model Context Protocol, פרוטוקול שאור מציג כדרך להעשיר את המודל בלי להחליף אותו בכל פעם בגרסה חדשה. במקום לקוות שה-model כבר יודע משהו על העולם שלכם, מחברים לו tools: מקור data, פעולה מול מערכת, או שירות פנימי. MCP של MySQL, למשל, יכול לאפשר ל-Cursor להריץ query ולחקור database. MCP של GitHub יכול לאפשר פעולות מול GitHub. אפשר גם לחבר CI כדי לבדוק מה נכשל ולתת ל-agent כיוון לתיקון.

הנקודה החשובה אינה רק שיש עוד כלי. ההגדרה של ה-tool נכנסת למודל כהקשר: מה הפעולה עושה, אילו פרמטרים היא מקבלת, ומה אפשר לבקש ממנה. לכן גם ניסוח מדויק הוא חלק מההנדסה. אור מתאר את ה-agent כ-junior developer עם ידע גולמי עצום: הוא עשוי לפתור אלגוריתם מסובך, אבל בלי גישה לקוד, לדוגמאות או לידע העסקי שלכם, הוא לא באמת יודע איך החברה עובדת.

איך בונים MCP Server לכלי פנימי

הכניסה לפיתוח MCP לא חייבת להיות פרויקט תשתית ענקי. בדוגמה שאור מציג, MCP שמריץ SQL read-only יכול להיות קטן מאוד: הגדרת tool שאפשר לקרוא, implementation, setup קצר, והרצה מול ה-client. לכן הוא ממליץ פשוט לנסות. זה תרגיל נוח שמחזיר את חדוות הפיתוח: בונים משהו קטן, מחברים אותו, ורואים את ה-LLM משתמש בו.

אבל כלי קטן לא פוטר מתכנון. אם בונים MCP פנימי סביב שירות או workflow ארגוני, צריך לחשוב גם על Discovery. tool שמקבל רק Jira ticket ID בודד לא עוזר ל-agent למצוא את ה-ticket שעליו הוא אמור לעבוד. כדאי לתת לו יכולות Search, List או Index, כדי שיוכל לגלות מידע שהמפתח שכתב את ה-prompt לא ידע להצביע עליו מראש. וככל שה-tool מחזיר יותר מידע, גדל גם הסיכוי שהוא יעשה נזק: אור מתאר מקרה שבו MCP שהחזיר בערך 2MB של data גרם למודל להתחיל לכתוב C++ במקום Node.

MCP בתוך workflow של AI coding

ב-Melio מעודדים מפתחים להשתמש בכלי AI coding שנוחים להם, כולל Cursor וכלי JetBrains, ולא כופים IDE יחיד. המטרה היא לא one shot של "קח משימה וסיים אותה". קודם מוסיפים הקשר. אור ממליץ אפילו בלי מתודולוגיה מיוחדת להתחיל בבקשה פשוטה: אל תכתוב קוד, רק חקור. רק אחרי שה-agent עבר על ה-repo והבין את המשימה, אפשר להתקדם לביצוע.

הוא מתאר גם עבודה עם Riper, אוסף instructions שמחלק את העבודה למחקר, יצירת פתרון, תכנון, ביצוע ובדיקה מול התוכנית. כאשר זה עובד, כמה דקות של הכנה חוסכות שעה של ping-pong. עבור משימה גדולה, אור מעדיף לבקש מה-agent קודם לפרק Jira issue ל-subtasks. התוצאה היא גם mini tech design: אפשר לראות את דרך הביצוע לפני שהוא משנה קוד, ואז לקדם אותו subtask אחר subtask.

אבטחת MCP: הרשאות, read-only ובדיקת קוד

אבטחת MCP בארגון מתחילה מהנחה שמודל טועה. ב-Melio, שפועלת סביב תשלומים, data רגיש ורגולציה, גישה של agent ל-database, ל-Jira או לכל מערכת אחרת היא לא רק עניין של productivity. אסור שמודל ימשוך data של משתמש אמיתי וידביק אותו ב-Jira issue. לכן ההגנות צריכות להיות חלק מה-MCP עצמו ולא רק הוראה ב-prompt.

בדוגמת ה-MySQL, החיבור מוגדר ל-read-only instance בסביבות פיתוח. בנוסף, ה-MCP פותח read-only transaction, כך שגם טעות בהגדרה לא אמורה להפוך בקלות לפעולת כתיבה. זה mitigation, לא הבטחה מוחלטת. אור מדגיש גם שני attack vectors: tool שנראה תמים יכול לכלול instruction זדוני שמבקש מה-agent מידע רגיש, ו-MCP שאושר ידנית יכול לשנות את ההתנהגות שלו בזמן ריצה. אישור התקנה חד-פעמי אינו סיבה להפסיק לחשוד בקוד שמוריד payload או משנה את עצמו.

כשה-agent מחבר בין Jira, Figma ו-GitHub

כאן MCP הופך מכלי נקודתי לחלק מזרימת עבודה. אור מתאר תרחיש שבו נותנים ל-Cursor ticket: הוא נכנס ל-Jira, מוצא משם קישור ל-Figma, קורא את ההקשר, מממש את הקוד, פותח pull request ב-GitHub, ובחיבור נכון גם מעביר או סוגר את ה-Jira issue. בפעם הראשונה שזה עובד מקצה לקצה, זה מרגיש כמעט כמו קסם.

ועדיין, זה לא workflow שאפשר לסמוך עליו בעיניים עצומות. בפרויקטים עם business knowledge מורכב, ה-agent עלול להיתקע באיטרציות או לא להבין את הכוונה. גם workflow שמחבר כמה MCPs אינו בהכרח פשוט: MCP של Google Sheets ו-MCP של Figma יודעים כל אחד לבצע פעולה ממוקדת, אבל לא בהכרח יודעים לתאם ביניהם. בעבודות programming זה לעיתים קל יותר, כי המודל כבר מכיר חלק מהדפוסים; בתהליכים עסקיים מורכבים נדרש פירוק מפורש ובקרה אנושית.

איך מאמצים MCP בארגון בלי לאבד שליטה

הגישה של Melio היא לא לחסום הכל ולא לפתוח הכל. כל MCP שמפתח רוצה להפעיל עובר את צוות Application Security, שבודק את הקוד ומאשר רשימה מוגדרת של כלים. כדי לא להפוך את האישור לבירוקרטיה שתהרוג את הניסוי, הם לקחו package manager ל-MCPs והפנו אותו לרשימה המאושרת שלהם. למפתחים יש utility שמקל להתקין את הכלים המותרים, גם אם ה-UX עדיין לא מושלם.

ההרשאות נשארות אישיות: כרגע ה-MCPs רצים מקומית על מחשב המפתח, עם ה-credentials וה-access שלו, לא דרך server מרכזי שמשתף token אחד לכולם. גישה מרכזית עשויה להתאים לדברים כלליים יותר, למשל knowledge base. כך אפשר לעודד התנסות, אבל לשמור barrier קטן במקום שבו יש סיכון. זה חשוב במיוחד כי האקו-סיסטם צעיר, ויש גם mismatch אפשרי בין capabilities של client ושל server.

למי ההרצאה הזאת

ההרצאה מיועדת למפתחים שכבר עובדים עם Cursor, Claude Code או AI IDE אחר ורוצים להבין מה קורה אחרי ה-prompt, וגם למובילי engineering שמנסים להכניס MCP לארגון בלי להפוך אותו למעקף הרשאות. תקבלו דרך פרקטית להתחיל: לתת context לפני קוד, לבנות tool קטן עם Discovery, לפרק עבודה מורכבת, ולהציב guardrails לפני שמחברים מערכות רגישות.

השורה התחתונה

• אל תבקשו מה-agent לבצע משימה כבדה לפני שהוא חקר את ה-repo וההקשר.
• ב-MCP פנימי, הוסיפו Search או List. בלי Discovery ה-agent לא יודע מה קיים.
• שמרו tools ממוקדים והחזירו רק את ה-data הנחוץ. יותר context לא תמיד מוביל לתוצאה טובה יותר.
• הגדירו read-only ו-guardrails ברמת הכלי, במיוחד מול databases ומערכות רגישות.
• אשרו MCPs דרך security, אבל תנו למפתחים מסלול התקנה פשוט לכלים שאושרו.
• התחילו בתהליכים חוזרניים, ואז הרחיבו בהדרגה ל-tech design, testing ו-production management.

שאלות נפוצות

מה זה MCP Server ואיך הוא עובד עם כלי AI? MCP Server חושף ל-agent tools ומקורות הקשר. ה-client, למשל Cursor, מקבל description של הפעולות והפרמטרים שלהן ויכול להשתמש בהן לפי הצורך. כך הוא יכול לגשת ל-data source, להריץ פעולה מול מערכת כמו GitHub או CI, ולהישען על מידע שלא היה לו בתוך ה-model.

איך בונים MCP Server לכלי פיתוח פנימי? אפשר להתחיל מ-tool קטן ומוגדר היטב, למשל פעולה read-only מול service או database. מעבר ל-implementation, חשוב להגדיר בבירור מה הפעולה עושה ואילו פרמטרים היא מקבלת. הוסיפו יכולות Discovery כגון Search או List, כדי שה-agent יוכל למצוא ישויות ומידע ולא רק לקבל ID ידוע מראש.

אילו סיכוני אבטחה יש בחיבור MCP ל-AI agent? tool תמים למראה עלול להכיל instructions זדוניות שידרשו מה-agent להוציא מידע רגיש, בלי שהמשתמש יראה זאת. סיכון נוסף הוא שינוי התנהגות בזמן ריצה: MCP שאושר יכול להוריד payload ולהתנהג אחרת. בנוסף, agent עם גישה רחבה עלול להביא data רגיש ממערכת פנימית למקום לא מתאים.

איך מטמיעים MCP בארגון בלי לתת ל-agent יותר מדי הרשאות? בנו guardrails בכלי עצמו, למשל חיבור ל-read-only instance ו-read-only transaction, והעבירו MCPs לבדיקה של Application Security. שמרו רשימה מאושרת ומסלול התקנה נוח עבורה. ב-Melio הכלים רצים מקומית עם ה-credentials של המפתח, במקום token מרכזי משותף, כך שהגישה נשארת תחומה להרשאות הקיימות.

MCP לא מבטל את הצורך בשיפוט הנדסי. הוא נותן ל-AI דרך לראות ולעשות יותר, ולכן גם מחייב לתכנן מה הוא רואה, מה הוא יכול לבצע, ואיפה עוצרים אותו. אם אתם רוצים לראות את הדוגמאות והדיון המלא של אור כהן, אפשר לצפות בהרצאה ב-https://www.youtube.com/watch?v=lH-UVrIrUAc.