MCP：把工具接进模型

MCP 常被描述成「AI 的 USB-C 接口」，这个比喻只对了一半：它统一的是连接方式，不保证接上来的工具安全可靠。真正要理解的是三个角色之间的分工，以及一次工具调用里，谁有权执行、谁负责校验。

这个专题包含什么

专题讲四层内容。第一层是协议本身：主机、客户端、服务端各自负责什么，工具、资源、提示分别是什么。第二层是服务端实现：一个最小 MCP 服务需要声明哪些能力、怎么启动、客户端怎么发现它。第三层是模型侧：工具调用如何触发，Agent 框架怎样把多轮调用串起来，Agent Skills 又如何复用现成能力。第四层是安全：工具描述和返回值都可能被污染，提示注入、越权调用与数据外泄要在设计时就考虑。读的时候可以把「谁发起、谁转发、谁执行」写在纸上，遇到报错时按这三段定位。专题不展开具体语言的 SDK 细节，也不评价各家客户端的功能完整度。

学习顺序

先读 MCP 概念，把角色和消息流向弄清楚；没有这个底子，配置项只会变成死记硬背。接着动手做最小服务，哪怕只暴露一个查询工具，也要亲自经历启动失败、连接超时和权限配置这些环节。配置阶段最常见的坑不是协议本身，而是进程没起来、路径不对或权限不足；先把日志看明白，再改工具定义。然后回到概念，补 MCP 服务端与工具调用：前者讲服务怎么描述自己，后者讲模型怎么发起调用、宿主怎么执行并回填结果。再往后读 Agent 框架，理解单次工具调用如何进入「计划—行动—观察」的循环。最后看提示注入与护栏，把外部输入当作不可信数据来处理。

全部相关词条

概念组是协议的地基：MCP、MCP 服务端、工具调用。动手组把知识变成可运行的东西：最小 MCP 服务、Agent 框架、Agent Skills。安全组决定这套东西能不能上生产：提示注入讲攻击面，护栏讲输出与动作的边界。三组不是三选一，接得进、跑得稳、守得住，缺一项都不算完成。如果只做一次内部试点，可以先从只读工具开始，把写操作留到权限模型清楚之后再开放。