Serwer MCP działający na twoich plikach musi skądś wiedzieć, gdzie wolno mu zaglądać. Roots były mechanizmem, który mu to komunikował.
Czym są
Roots to możliwość klienta, dzięki której serwer dowiaduje się, na jakich katalogach lub adresach URI może operować. Klient deklaruje zakres, serwer się do niego stosuje.
Granica, nie zabezpieczenie
Warto rozumieć charakter tego mechanizmu: jest to informacja przekazana serwerowi, a nie wymuszona izolacja. Serwer, który zignoruje zadeklarowany zakres, technicznie może to zrobić — ograniczenie działa na zasadzie umowy, nie piaskownicy. Rzeczywiste odseparowanie wymaga mechanizmów systemowych po stronie klienta.
To rozróżnienie ma znaczenie przy ocenie serwerów z niezaufanych źródeł.
Zdeprecjonowane
W specyfikacji 2026-07-28 roots zostały zdeprecjonowane razem z samplingiem i logowaniem. Zalecane podejście przenosi zakres działania do parametrów narzędzi — czyli tam, gdzie i tak podlega walidacji po stronie pętli.
Co zostaje
Problem, który roots miały rozwiązywać, nie znika: agent korzystający z zewnętrznych serwerów musi mieć jasno określony zakres działania. Zmienia się tylko miejsce, w którym ten zakres jest wyrażany i egzekwowany — i przesuwa się w stronę kodu, który faktycznie wykonuje wywołania.