MCP 是什么？从“会回答”到“能连接工具”的开放协议

MCP（Model Context Protocol，模型上下文协议）是一套开放协议，用来规范 AI 应用如何连接外部数据、工具与工作流。它不会直接让模型“变聪明”，但能减少每个 AI 应用都单独适配每项服务的重复工程。

先说结论：MCP 解决的不是模型能力，而是连接成本

过去，一个 AI 应用想读取云盘、查询数据库、调用代码仓库或创建内容草稿，通常需要分别开发集成。应用越多、外部系统越多，连接关系就越复杂，认证、权限和维护也会重复出现。

Anthropic 在 2024 年 11 月发布并开源 MCP，希望把这些连接抽象成通用协议：工具提供方按协议暴露能力，AI 应用按协议发现并调用。它更像连接层，而不是新的模型或“万能 Agent”。

MCP 的三层架构：Host、Client 与 Server

• Host（宿主）：用户实际使用的 AI 应用或开发环境，负责对话、权限边界和整体协调。
• Client（客户端）：由宿主创建并维护的协议连接，通常一个客户端对应一个服务器连接。
• Server（服务器）：向客户端提供上下文和操作能力，例如文件读取、数据库查询或内容发布。

这里的 Server 不一定是远程云服务，也可以运行在本地。关键不在部署位置，而在双方使用同一套消息与能力描述方式。

三类核心能力：Tools、Resources、Prompts

一个实际场景：从“告诉我步骤”到“创建一个待审草稿”

假设编辑提出：“分析上周访问表现最好的文章，并按同一主题创建一篇续稿。”在经过授权的连接中，AI 应用可以读取分析数据，调用内容工具生成草稿，再把结果交给编辑审核。

这里最重要的词是授权与待审。协议提供连接方式，不代表 AI 应被默认授予全部账户权限。对新闻与商业站点，更稳妥的设计是先读后写、最小权限、草稿优先、人工发布。

治理状态：从公司项目走向独立基金会

2025 年 12 月，Anthropic 宣布把 MCP 捐赠给 Linux Foundation 旗下新成立的 Agentic AI Foundation。这个变化的意义在于协议治理不再只依赖一家公司的产品路线，但“进入基金会”也不自动等于所有实现都成熟、安全或兼容。

判断某个 MCP 服务器是否值得在生产环境使用，仍要看维护者身份、代码来源、更新频率、权限范围、审计能力和漏洞响应，而不能只看下载量或社交媒体热度。

安全边界：会连接，不等于可以无条件执行

1. 从最小权限开始：能只读就不要写入，能限定目录或项目就不要开放整个账户。
2. 高风险动作要求确认：删除、付款、发信、公开发布和修改权限等操作，应保留清晰的人类确认步骤。
3. 不要盲信第三方服务器：安装前核对发布者、源代码和依赖，避免把长期凭证交给来源不明的实现。
4. 防范提示注入与权限混淆：外部内容可能包含诱导指令；读取到的信息不能自动升级为执行授权。
5. 保留日志与撤销路径：生产系统需要知道谁在何时调用了什么，并为误操作预留恢复机制。

普通用户与团队如何开始

先选一个明确、低风险的只读任务，例如读取指定文件夹中的资料或查询测试数据库；确认客户端展示的权限请求与预期一致；在隔离环境中测试输出；最后才考虑开放写入。若涉及客户数据、内部代码或个人信息，还应先完成组织内部的安全与合规评估。

结语

MCP 的价值不在于替代 API，而在于给 AI 应用与外部能力之间增加一层可复用的协议。它让“连接工具”更标准化，也把权限、信任与审计问题推到更显眼的位置。真正成熟的应用，不只是能调用更多工具，而是能让用户清楚知道它准备做什么、为什么做，以及如何阻止或撤销。

---

主要资料来源

• Anthropic：Model Context Protocol 初始公告（2024-11-25）
• MCP 官方文档：Architecture overview
• MCP 官方文档：Security best practices
• Anthropic：MCP 捐赠与 Agentic AI Foundation 公告（2025-12-09）

编辑披露：本文由慢半拍编辑流程策划与核查，使用 AI 协助整理结构和语言，最终事实选择、判断与发布由编辑负责。题图为本站生成式工具辅助创作的原创抽象插画，不含第三方商标、人物肖像或产品界面。