MCP 2026-07-28: Ajan Protokolü Oturumsuz Çekirdeğe Geçti
Agentic AI Foundation (AAIF), 28 Temmuz 2026’da model-context-protocol (MCP) spesifikasyonunun 2026-07-28 sürümünü finalize etti. Maintainers, bunu anthropic’in protokolü duyurmasından bu yana en büyük mimari revizyon olarak tanımlıyor. David Soria Parra VentureBeat’e “bazıları şaka yollu v2 diyor; ruhen doğru” diyerek değişimin ölçeğini özetledi. Güncelleme çekirdeği tamamen stateless hale getiriyor, oauth / openid-connect hizalı yetkilendirmeyi sertleştiriyor, en az 12 aylık resmi bir deprecation politikası getiriyor ve mcp-apps ile mcp-tasks uzantılarını resmi seviyeye çıkarıyor.
Bu paket, yerel stateful stdio’dan commodity HTTP yatay ölçeğe uzanan transport yol haritasının tamamlanma anı olarak okunuyor. Kısa adıyla: ajan–tool protokolünün “HTTP anı”.
Ana Gelişme: Stateless Çekirdek
Önceki MCP tasarımında istemci, belirli bir sunucu örneğiyle kalıcı oturum tutmak zorundaydı. Duyuruya göre ölçekte çalıştırmak için sticky routing veya paylaşılan session state gerekiyordu. Bir compute pod düştüğünde istekler kırılabiliyordu — Den Delimarsky’nin VentureBeat’e verdiği örnek tam da bu operasyonel kırılganlığı anlatıyor.
2026-07-28 ile initialize / initialized handshake (SEP-2575) ve Mcp-Session-Id (SEP-2567) kaldırıldı. İstekler self-contained. İstemci bilgisi ve yetenekler istek başına _meta üzerinden taşınıyor; sunucu yetenekleri server/discover ile talep üzerine alınıyor. Uygulama durumu protokol oturumunda değil, tool argümanı olarak geçen explicit state-handle’larda yaşıyor.
AAIF Executive Director Mazin Gilbert, değişikliği web’i mümkün kılan mimari karara benzetiyor: istemci, load balancer arkasındaki herhangi bir sunucuyla sticky session olmadan konuşabiliyor. Trade-off’lar açıkça kabul ediliyor: state wire’a taşındığı için payload’lar büyüyebilir; nadiren kullanılan bazı yetenekler daraltılıyor veya deprecated ediliyor.
Routing tarafında Mcp-Method ve Mcp-Name header’ları zorunlu (SEP-2243). Bu, kurumsal ortamda standart Kubernetes / cloud-native load balancing ile yatay ölçeği mümkün kılıyor. Microsoft Azure App Service gibi operasyonel yazılar da aynı stateless geçişi üretim altyapısı dilinde çerçeveliyor: sticky session varsayımı kalktıkça platform ekibi sıradan HTTP ölçek kalıplarına dönebilir.
Önce / Sonra: Operasyonel Tablo
| Boyut | Önceki model | 2026-07-28 |
|---|---|---|
| Oturum | initialize + Mcp-Session-Id | Yok; self-contained istekler |
| Yönlendirme | Sticky / session affinity | Round-robin / standart LB |
| Uygulama state | Protokol oturumu | Explicit handle (tool args) |
| Yetenek keşfi | Handshake’e bağlı | _meta + server/discover |
| Ölçek birimi | Session-aware pod | Commodity HTTP replica |
AAIF migration rehberi, stateful stdio-yönelimli tasarımı load-balanced / multi-region dağıtımlar için darboğaz olarak konumlandırıyor. Rehberin bir kısmı RC döneminde yazıldığı için final-ship dili 28 Temmuz resmi MCP blog yazısıyla doğrulanmalı; protokol gerçekleri için birincil kaynak orasıdır.
Yetkilendirme Sertleştirmesi
Auth güncellemesi, bilinen bir saldırı sınıfına (mix-up) karşı önleyici protokol düzeltmesi olarak çerçeveleniyor. Aktif bir güvenlik olayına yanıt olarak sunulmuyor; abartılı “acil yama” dili doğru değildir. Zorunlu iss (issuer) doğrulaması RFC 9207 ile hizalanıyor (SEP-2468). OIDC application_type dynamic client registration’da yer alıyor; issuer-bound credential’lar öne çıkıyor. Okta ile geliştirilen Enterprise Managed Authorization (EMA) uzantısı, kurumsal IdP beklentilerine yaklaştırıyor.
Türk geliştiriciler için pratik mesaj: MCP sunucularını kurumsal OAuth/OIDC kimlik sağlayıcılarına bağlarken iss doğrulamasını atlamak artık spesifikasyon ihlali. ai-agent-security ve enterprise-mcp-adoption tartışmalarında auth hardening, üretim hazırlığının protokol katmanındaki karşılığıdır. Ajan tool çağrıları dış sistemlere yazma yetkisi taşıyorsa, kimlik sağlayıcı hizası yalnızca compliance checkbox değil, blast-radius kontrolüdür.
Deprecation Politikası ve Kırıcı Değişiklikler
SEP-2577 ile resmi feature lifecycle politikası geliyor: deprecation ile en erken kaldırma arasında en az 12 ay. Roots, Sampling ve Logging bu pencerede deprecated. AAIF migration rehberine göre bazı özelliklerin en erken kaldırma tarihi 28 Temmuz 2027 olarak anılıyor. Google, Microsoft ve Amazon ile danışıldığı belirtiliyor — bu, “sürpriz breaking change” riskini azaltmak için kurumsal bir sözleşme sinyali.
Custom, SDK dışı istemciler için kırıcı risk gerçek. Intended migration path: Tier 1 SDK yükseltmesi. AAIF sunucu ve istemci bakımcıları için checklist sunuyor. Ekiplerin yapması gerekenler: session store kodunu kaldırmak; her istekte _meta taşımak; server/discover akışını eklemek; Roots/Sampling/Logging bağımlılıklarını envanterlemek; OAuth iss doğrulamasını açmak.
Önceki spesifikasyon referansı 2025-11-25; yeni sürüm onu değiştiriyor. RC, 21 Mayıs 2026’da kilitlenmişti; Tier 1 SDK’ların on haftalık validation penceresinde destek taşıması bekleniyordu. Final ship 28 Temmuz 2026.
MCP Apps ve MCP Tasks
İki yetenek resmi uzantıya yükseliyor (extensions first-class, SEP-2133).
mcp-apps (SEP-1865): sandboxed iframe içinde sunucu tarafından render edilen interaktif HTML UI’lar. Ajan yalnızca JSON tool sonucu döndürmek zorunda değil; kullanıcıya sunucu tarafı bir arayüz sunabilir. Bu, “headless tool” ile “insan-in-the-loop UI” arasındaki boşluğu protokol düzeyinde kapatma iddiası.
mcp-tasks: uzun süren işler için dayanıklı task handle’ları (tasks/get, tasks/update, tasks/cancel). İstemci bağlantıyı kesip sonra polling ile devam edebiliyor. Multi-round-trip istekler, SSE stream’i açık tutmadan mid-call elicitation’a izin veriyor — uzun batch job’larda bağlantı tutma maliyetini düşüren bir desen.
Bu ikili, ajan–tool protokolünü yalnızca “fonksiyon çağır” katmanından çıkarıp UI ve async iş orkestrasyonuna taşıyor. Tool schema’larda Full JSON Schema 2020-12 (SEP-2106) ve _meta içinde trace context (SEP-414) de paketle birlikte geliyor; observability ve şema doğruluğu kurumsal checklist’e giriyor.
Ölçek, Ekosistem ve Yönetişim Bağlamı
VentureBeat’e göre maintainers / foundation, haftalık yaklaşık 250 milyon SDK indirmesi ve AAIF üye sayısının kuruluştaki ~40’tan ~240’a çıktığını belirtiyor. Bu rakamlar bağımsız denetimden geçmemiş; maintainer/foundation iddiası olarak okunmalı. Yine de büyüme anlatısı, MCP’nin niş bir deneyden fiili ajan–tool substratına geçtiği tezini destekliyor.
anthropic MCP’yi Kasım 2024’te oluşturdu ve Aralık 2025’te linux-foundation altındaki AAIF’e bağışladı. Secondary coverage’da Microsoft, Google, Amazon ve OpenAI’nin maintainer / driver olarak anılması, çoklu vendor bakımı işaret ediyor. Anthropic veto / AAIF bağımsızlık gerilimi sektörde konuşulan bir bağlamdır; bu haberin ana tezi o gerilim değil, mimari “HTTP anı”dır. Yönetişim paragrafı kısa ve nötr tutulmalıdır.
Neden Önemli?
MCP, ajanları araçlara ve API’lere bağlayan fiili substrat haline geldi. Sticky session kaldırılması, üretimde ölçeklenebilir ajan altyapısı kuran ekipler için operasyonel bir dönüm noktası. Auth sertleştirmesi ve 12 aylık deprecation sözleşmesi, “hızlı deney protokolü”nden “kurumsal sözleşme”ye geçiş sinyali. Apps ve Tasks, ürün ekiplerinin agent UX ve uzun iş akışlarını protokole dayandırmasına izin veriyor.
Türk yazılım ve AI pratisyenleri için aksiyon listesi:
- SDK’yı
2026-07-28uyumlu sürüme yükseltmek - Sticky session / session store varsayımlarını kaldırmak
- OAuth
issdoğrulamasını zorunlu kılmak - Apps / Tasks’i ürün yol haritasına almak
- Deprecated Roots / Sampling / Logging bağımlılıklarını envanterlemek
- Custom client varsa SDK path’ine dönmeyi önceliklendirmek
Finans ve risk okurları için ikincil mesaj: ajanların dış sistemlere yazdığı her tool call, kimlik ve yetki zincirinin parçasıdır. Protokolün OIDC hizası, agent-production-tooling-2026 gündeminde “production-ready” iddiasının standart katmanıdır.
Migrasyon Pratiği (Sunucu ve İstemci)
Microsoft Tech Community’nin App Service notuna göre istekler MCP-Protocol-Version, Mcp-Method ve Mcp-Name header’larını taşır; gövde _meta istemci bilgisini içerir. Operasyonel sonuç: protokol katmanında client affinity gereksinimi kalkar; session-keyed state Redis/Cosmos gibi harici store’lara explicit handle ile taşınır. Liste sonuçlarında ttlMs / cacheScope gibi cache ipuçlarına uyulması önerilir. Commodity HTTP load balancing artık MCP sunucuları için protokole native bir ölçek modeli.
Sunucu bakımcıları için checklist özeti: handshake kaldır, session ID üretme, her yanıtı self-contained tut, discover endpoint’ini doğrula, OAuth iss doğrulamasını aç. İstemci bakımcıları için: SDK yükselt, özel session cache’lerini temizle, Apps/Tasks capability negotiation’ını test et, deprecated Roots/Sampling/Logging çağrılarını feature-flag ile izole et. Custom client yazan ekipler için en düşük riskli yol, Tier 1 SDK’ya dönmektir — protokol yüzeyi büyüdükçe elde yazılmış transport katmanı bakım maliyeti artar.
Sonraki Adımlar
İzlenecekler: Tier 1 SDK’ların final-ship desteğinin yayılması, kurumsal IdP’lerde EMA adoption’ı, Apps/Tasks’in üretim ajan ürünlerinde görünürlüğü, custom client’ların migration hızı ve Azure / Kubernetes operasyon yazılarında sticky-session kaldırma checklist’lerinin olgunlaşması. Spesifikasyon referansı artık 2026-07-28. Bu sürüm, agentic-ai yığınında tool protokolünü “deney”den “yatay ölçeklenebilir altyapı sözleşmesi”ne taşıyan milestondur.