MCP（模型上下文協議）

在實踐中

這項協議規定的是客戶端與服務端之間的一套 JSON-RPC 互動。服務端對外宣告 tools（可呼叫的操作）、resources（可讀取的資料）與 prompts（可複用的指令模板）；客戶端——聊天應用、IDE 或一個 Agent 執行時——在連線時發現它們，並通過 stdio 或 HTTP 發起呼叫。它由 Anthropic 於 2024 年底提出，以開放規範的形式公開，如今已被眾多廠商與開源專案的客戶端和服務端實現。它拿下的價值是組合意義上的：N 個客戶端與 M 個工具，不再需要 N×M 份各寫各的整合。

連線標準不談權威，MCP 也刻意不去談。它描述一次呼叫如何被封裝和傳輸，但不決定這次呼叫適用誰的權限、這個操作生效前是否需要一次簽字、事後又留下什麼證據。這些判斷屬於持有資料的那個系統——所以一個 MCP 服務端的安全上限，永遠不會高於它所包裝的那個介面：把它架在一條裸資料庫連線前面，交給 Agent 的就是服務賬號的觸及範圍，而不是提問那個人的觸及範圍。

把兩者分清楚的說法很乾淨：MCP 標準化的是「Agent 怎樣夠到工具」，而受治理工具層決定的是「這次呼叫是否被允許、是否被記錄」。兩者都需要。連線能力比治理能力早到好幾年，正是一個 Agent 興高采烈地匯出了提問者本無權檢視的記錄的由來——不是因為它有惡意，而是因為這條路徑上從來沒有人問過「呼叫的是誰」。