MCP（Model Context Protocol）

模型上下文协议（Model Context Protocol，MCP）是 Anthropic 于 2024 年 11 月正式开源的开放标准协议，基于 JSON-RPC 2.0，统一了大语言模型与外部工具、数据源之间的连接方式。它被广泛比作「AI 领域的 USB 接口」——任何符合规范的服务端与客户端均可即插即用，工具开发者只需实现一次，即可被所有兼容 MCP 的模型或应用调用。

在 MCP 出现之前，每个 AI 应用若要接入外部工具，都需单独编写适配代码，形成「N×M」集成困境。

• 碎片化集成：不同 Agent 框架与工具之间缺乏统一接口，维护成本极高
• 上下文割裂：模型难以一致地访问文件、数据库、API 等异构数据源
• 标准缺失：工具权限、会话管理、错误处理均无行业共识
• MCP 目标：以单一开放规范替代大量重复适配工作，降低 AI Agent 生态的接入门槛

MCP 采用三层角色模型，通过有状态的 JSON-RPC 2.0 通道进行通信。

• Host（宿主）：运行 LLM 的应用程序（如 Claude Desktop、IDE 插件），负责策略管理和安全边界
• Client（客户端）：由 Host 创建，每个 Client 维护与一个 MCP Server 的独立有状态会话
• Server（服务端）：轻量独立进程，封装特定领域能力（文件系统、数据库、外部 API 等）
• 传输层：支持 stdio（本地进程间通信）和 HTTP+SSE（远程流式通信）两种传输方式
• 会话建立：客户端发送 initialize 请求，服务端返回支持的能力列表，完成握手

MCP Server 通过三类标准化原语向客户端暴露能力，分工明确。

• Tools（工具）：模型可主动调用的可执行函数，附带 JSON Schema 描述入参，如搜索、代码执行、数据库查询
• Resources（资源）：只读数据源，通过 URI 引用拉取，为模型提供上下文信息，如文件内容、数据库记录
• Prompts（提示模板）：可复用的结构化提示片段，帮助规范模型与工具之间的交互方式
• Sampling（采样）：服务端可反向请求宿主模型生成文本，支持更复杂的人机协作场景

MCP 发布后迅速从 Anthropic 私有规范演变为多家主流 AI 厂商认可的行业标准。

• 2024 年 11 月：Anthropic 正式开源 MCP 规范（v2024-11-05）及 Python、TypeScript SDK，Claude Desktop 内置 MCP 客户端
• 2024 年末：Cursor、Zed、Sourcegraph 等编程工具相继接入；微软、Block 参与早期生态建设
• 2025 年初：OpenAI、Google DeepMind 宣布支持 MCP，协议向更广泛的行业标准演进
• 2025 年 4 月：安全研究人员披露提示注入、工具权限滥用等安全隐患，推动安全规范完善
• 2025 年 11 月：MCP 发布一周年，推出重大更新，生态持续扩张

MCP 常与函数调用、工具抽象框架混淆，实际上它们处于不同协议层次。

• MCP vs 函数调用：函数调用是单个模型 API 的内部机制，描述「模型如何输出调用格式」；MCP 是跨进程网络协议，描述「工具服务如何向任意客户端暴露能力」
• MCP vs LangChain 工具：LangChain 工具是 Python 框架内的接口约定；MCP 是语言无关的网络协议，Go、Rust、TypeScript 均有官方 SDK
• MCP vs OpenAPI：OpenAPI 描述 HTTP 服务的静态文档；MCP 是带状态会话的实时通信协议，支持流式推送和双向采样

MCP 的开放性带来便利，同时也引入了若干需要关注的安全风险。

• 提示注入：恶意 Server 可通过构造响应内容操纵 LLM 行为
• 工具权限越界：组合调用多个工具可能产生意料之外的数据泄露路径
• 仿冒工具：外观合法的 Server 可能暗中替换受信任的工具实现
• 认证非内置：协议规范本身不含认证机制，生产环境需在传输层自行实现访问控制
• 防御建议：Host 应严格校验 Server 来源，对工具权限实施最小授权原则