MCP

标准化工具与数据连接的协议。

MCP为模型应用连接工具和数据提供标准协议。它有助把连接方式与单个模型或聊天界面分离，但不决定企业中谁可以访问什么，也不保证server返回内容可信。企业采用MCP时，仍要把远端能力放入自己的身份、数据和发布治理。

连接前确认server主体、部署位置、工具定义和版本，按任务核查OAuth audience、scope及重定向。不要把用户授给某服务的token无条件透传给另一服务，也不要把应用状态句柄当登录身份。工具目录变化会改变Agent能力，需要评估模型是否选错工具、schema是否兼容及权限是否扩大。

远端返回数据可能带有恶意指令，不能直接改写应用规则或memory。调用结果经过输出大小、敏感数据和来源处理后，再进入context。若server在内部持有更多权限，必须防止confused deputy：调用者只能请求其自身被允许的资源，而非借server身份读取其他租户。

本地server安装和更新也是供应链边界。公开repo、MCP徽章或连接成功不能代替代码与许可审查；企业私有资料不应发送给未经核实的demo。验证既测协议兼容，也测错误audience、过宽scope、工具定义替换、结果投毒和断线恢复。标准解决互通，可信执行仍是平台责任。

对远程连接，审计还应记录请求最终去了哪个server和版本，而非只保存一个显示名。相同工具名可能在不同组织或环境指向不同资源。连接配置、凭证scope和工具目录应作为发布资产管理，生产切换不能只靠修改本地环境变量后默认继续运行。

采用连接器时，应区分协议规范、SDK实现、远端server和具体工具四层证据。某一层通过兼容测试，不意味着其余层的授权与业务结果也得到验证。每层都应保存版本和责任owner。

实践重点：核验server身份、定义、授权scope与网络目的地；版本变更纳入发布。

验证抓手：用错误audience、token透传与定义变更做安全契约测试。

常见误区：把符合MCP视为server可信或自动具备企业权限。

MCP：当前规范；MCP：安全建议。