Als vor ein paar Tagen der neue MCP-Spec-Release live ging, habe ich hier über den Stateless-Kern und die Enterprise-Bausteine geschrieben. Jetzt meldet sich Simon Willison zu Wort — und seine Perspektive ist eine ganz andere: die eines Entwicklers, der sofort losbaut. Der 28. Juli war für ihn «Stateless MCP day», und das Update hat sein persönliches Interesse am Protokoll neu entfacht.
Warum stateless den Unterschied macht
Willison bringt den technischen Kern auf ein einfaches Bild. Früher brauchte ein MCP-Aufruf zwei HTTP-Requests: einen, um eine Session zu initialisieren und eine Mcp-Session-Id zu bekommen, und einen zweiten für den eigentlichen Tool-Call. Jetzt reicht ein einziger Request. Kein Session-State mehr, kein Nachdenken darüber, wie man dieselbe Session auf dieselbe Backend-Maschine routet. Für skalierbare Web-Apps ist das schlicht die bessere Architektur — und für alle, die Server bauen, deutlich weniger Aufwand.
Drei Tools in einer Woche
Am überzeugendsten ist, was Willison mit dem neuen Spec gemacht hat. Er hat direkt drei Werkzeuge gebaut:
mcp-explorer ist ein Stateless-CLI-Tool, um MCP-Server interaktiv abzuklopfen. Dank uvx muss man nichts installieren — ein Befehl listet die Tools eines Servers, ein weiterer inspiziert ihr JSON-Schema, ein dritter ruft sie mit Argumenten auf. Genau die Art Tool, mit der man eine Spezifikation richtig kennenlernt.
datasette-mcp hängt an jede Datasette-Instanz einen /-/mcp-Endpunkt. Drei Tools: Datenbanken auflisten, Schema lesen, SQL ausführen (vorerst nur lesend). Willison hat versucht, dieses Plugin schon viermal zu bauen — erst mit dem Stateless-Spec fühlt es sich für ihn gut genug für ein Release an. In einer geteilten Claude-Session ließ er das Modell sieben SQL-Abfragen hintereinander laufen, um eine Frage über seinen eigenen Blog zu beantworten.
llm-mcp-client ist der Alpha-Versuch, sein LLM-Tool endlich offiziell an MCP anzubinden.
Das eigentliche Argument: Sicherheit
Spannend finde ich seinen Schwenk in der Haltung. Vor einem Jahr hat Willison noch auf die Prompt-Injection-Probleme von MCP hingewiesen. Jetzt sagt er: Einem Agenten eine Shell mit curl und Internetzugang zu geben, ist noch viel schwerer abzusichern — Stichwort «Lethal Trifecta». MCP-Tools sind einfacher zu prüfen und zu kontrollieren, und sie sind simpel genug, dass auch kleinere Modelle auf dem eigenen Laptop damit umgehen können. Sein Fazit: Für sensible Anwendungen will er künftig deutlich stärker auf MCP setzen.
Meine Einordnung
Es ist eine Sache, wenn Anthropic einen Spec-Release ankündigt. Eine andere, wenn jemand wie Willison eine Woche später mit drei fertigen Tools zeigt, dass die Hürde zum Mitmachen wirklich gefallen ist. Genau das ist der Moment, in dem aus einer Protokoll-Änderung ein Ökosystem wird. Und sein Sicherheitsargument sitzt: Nicht der mächtigste Agent ist automatisch der beste — manchmal ist der eng umrissene, prüfbare Werkzeugkasten die klügere Wahl.
Quellen: