了解MCP：协议之外的局限性

James WhiteAI安全首席技术官 | F5

模型上下文协议（MCP）正迅速成为智能体AI生态系统的支柱。MCP旨在为AI智能体与工具、API及外部系统交互提供一种标准方式，有望实现安全且可扩展的互操作性。

因此，不难理解为什么主要的模型开发商和一些全球大型企业都支持将MCP作为智能体交互的标准。但尽管MCP有诸多优势，它可能在错误的抽象层级解决了错误的问题。

MCP通过僵化的路径和接口严格限制智能体行为，将安全性置于优先地位，但代价是牺牲灵活性、适应能力，甚至有效的监督。换言之，它在安全方面矫枉过正，可能会限制AI智能体的实用性，却无助于应对动态环境中的实际风险。

MCP 的合理之处

MCP推动AI安全向前迈进了一步。它为AI智能体通过API调用工具提供了一种结构化、透明的方式，并明确界定接口和权限。随着人们越来越期望智能体执行触发工作流、转移资金或编写代码等操作，这一点至关重要。

可以将其视为协议层面的最小权限访问：仅允许智能体执行明确授予的操作。

从设计角度看，它简洁明了；从企业风险角度看，它让人安心。但从现实安全角度看，它并不完整。

权衡取舍：静态协议与动态智能体

MCP非常适合处理简单的确定性任务。但随着智能体的能力和自主性不断增强，其决策会更加依赖具体情境。它们需要实时调整，以新的方式组合使用工具，并在无人监督的情况下处理意外状况。

在这种环境中，静态接口架构和僵化的权限结构开始失效。它们虽然缩小了攻击面，但也削弱了智能体分析复杂工作流的能力。MCP以安全为优先时，可能会无意中削弱智能体的操作能力，并限制企业的创新能力。

更重要的是，这种僵化机制掩盖了实际存在的安全缺口。智能体符合MCP规范，并不意味着其行为是安全的。例如：

• 仅具备只读权限的智能体仍可能通过间接渠道窃取数据
• 范围受限的工具调用仍可能被串联起来，形成规模更大的涌现行为，并导致意外后果
• 请求格式正确，并不意味着发出请求的智能体具备安全执行该请求所需的适当上下文或判断力

智能体安全不仅关乎智能体获准执行哪些操作，还关乎它在特定情境下打算做什么，以及会如何行动。

真正的风险不只在于协议本身，更在于它所赋予的能力

MCP为AI智能体执行操作提供了一种基于权限的标准化方式，但这并不意味着这些操作本身就是安全的。该协议或许能实施严格的边界限制，但并未考虑智能体如何理解上下文、串联使用工具，或在压力下如何行动。

换言之，MCP可保护连接，但无法保障操作后果。这正是企业需要弥补的缺口。

现实中的AI风险，关键不在于智能体是否能够调用特定API，而在于它在数千次交互中选择执行哪些操作，以及当其行为开始偏离预期时，系统能否检测并作出响应。

突破框架局限

MCP在保障智能体与工具交互安全方面取得了实质性进展。但这也揭示了一个更广泛的事实：随着智能体能力不断增强，传统的协议级安全理念可能已不足以应对相关风险。

企业领导者需要突破权限框架的局限。智能体行为、上下文漂移、涌现式工具使用和链式操作，都需要采用新的监督与控制方法。因为真正的风险不在于握手过程，而在于之后发生的行为。

关于作者

James WhiteAI安全首席技术官 | F5

James White是一位成就卓著的工程师和商业领袖，在企业软件行业拥有近20年的经验。

James White 的更多博客文章