智能体能否完成一项任务，取决于它能否拿到正确的数据、调到可用的工具，并在企业允许的边界内执行动作。MCP，全称 Model Context Protocol，中文常称模型上下文协议，处理的是这段连接工作。它把数据源、业务系统和工具能力封装成统一接口，让智能体用同一种方式发现、读取和调用，减少每接一个系统就写一套适配代码的重复劳动。
MCP 对智能体的直接作用，是把外部数据和工具变成可发现、可调用、可复用的能力接口。 它统一的是连接方式；权限校验、业务正确性和任务编排，仍由智能体所在的平台和企业的安全体系负责。
Anthropic 在 2024 年 11 月将 MCP 开源，2025 年 12 月又将其捐赠给 Linux 基金会下的 Agentic AI Foundation。Anthropic 公布的同期数据显示，公共活跃 MCP Server 超过 10,000 个，Python 与 TypeScript SDK 的月下载量超过 9700 万次，ChatGPT、Cursor、Gemini、Microsoft Copilot、Visual Studio Code 等产品已经支持 MCP。协议从单一公司的项目转为社区共治的开放标准，这也是企业技术选型时会关注它的原因。
MCP 对智能体的三层作用
MCP 是一套开放协议，规定 AI 应用如何连接外部数据源和工具。它基于 JSON-RPC 2.0，分为数据层和传输层。数据层定义消息结构、能力发现和三类核心原语；传输层负责本地进程通信或远程 HTTP 通信，以及鉴权。
对智能体来说，这些规定落在三个层面。
- 数据接入。 文件、数据库记录、接口返回和知识内容，可以通过统一格式进入智能体的上下文，供模型在回答前读取。
- 工具接入。 查询数据库、创建工单、发送消息、执行代码等动作，可以封装成带名称、说明和参数结构的工具，由智能体按需调用。
- 能力接入。 同一套 Server 可以被不同宿主、不同模型和不同智能体复用，企业不必为每个应用重复开发连接器。
这三层解决的是连接标准化。 智能体该不该调用某个工具、调用是否越权、返回结果是否可信，需要另外的权限模型、审批流程和观测机制来回答。
一次 MCP 调用，智能体获得了哪些能力？
理解 MCP 的作用，先看一次调用经过哪些角色。官方架构把参与者分为三类。
- Host，即宿主 是用户直接使用的 AI 应用，例如桌面助手、IDE 或企业 Agent 平台。它管理连接、权限和用户授权。
- Client，即客户端 由 Host 创建，与一个 Server 保持连接，负责协议协商、消息路由和能力发现。
- Server，即服务器 对外提供能力，可以是本地进程，也可以是远程服务。
Server 通过三类原语向智能体暴露能力。
| 原语 | 作用 | 常见例子 |
|---|---|---|
| Tools | 可执行的操作 | 查询订单、创建工单、调用内部接口 |
| Resources | 可供读取的上下文数据 | 文件内容、数据库记录、指标口径 |
| Prompts | 可复用的交互模板 | 分析模板、报告框架、少样本示例 |
一次典型链路是：Host 连接 Server，读取对方支持的能力和工具清单；模型决定调用哪个工具；Client 把调用请求和参数发给 Server；Server 完成鉴权并执行，返回结构化结果；模型再结合结果组织回答。官方文档中，工具描述包含名称、用途说明和输入参数的 JSON Schema，这让模型在调用前就知道需要哪些参数，也方便平台做参数校验。
以一个运营问题为例。用户问上周新用户次日留存为什么下降，智能体可以先读取指标口径和埋点说明，再调用查询工具拉取分渠道数据，最后按分析模板输出结论。三类原语各承担一段工作，MCP 让它们在同一个连接里被发现和调用。
图：MCP 工具调用链路。权限仍由企业系统校验，结果经客户端返回宿主。
MCP 数据接入：让智能体读到可用内容
Resources 面向读取场景，适合放文件、记录、配置和说明文档。它让智能体不必把全部数据塞进提示词，而是按需读取相关片段。
企业落地时有两个前提比协议本身更重要。
第一，权限过滤要发生在读取之前。 如果先把整个知识库召回，再在生成答案时判断能不能展示，敏感内容已经进入了模型上下文。更稳妥的做法，是按调用者身份、租户和角色先缩小可检索范围，再执行召回。MCP 规范建议远程连接使用 OAuth 获取令牌，但令牌如何签发、权限如何映射，要由企业身份体系完成。
第二，数据口径要统一。 MCP 能把指标定义送到智能体面前，不能判断哪一份定义是当前有效的。同一指标在多个系统里有不同算法时，智能体拿到的上下文越全，冲突也可能越明显。这也是企业知识库需要单独治理的原因。ThinkingAI 的企业级知识库采用 SSOT 机制保证同一概念只有一处定义，并用 ChangeSet 记录更新，让智能体通过统一接口拿到可追溯的知识，减少口径漂移。
MCP 工具接入：让智能体执行动作
Tools 是 MCP 最受关注的部分。它把业务动作封装成函数，模型输出调用意图，平台负责执行。查询类工具可以快速返回结果，写入类工具则会改变业务状态，两类工具的风险不同，治理方式也应不同。
比较实用的做法是按风险分级。
- 只读工具，例如查订单、查库存、查报表，可以在完成身份校验后直接执行。
- 低风险写入，例如创建草稿、添加备注，可以执行并记录审计日志。
- 高风险动作，例如退款、改价、删除数据、发送对外消息，需要二次确认、额度限制或人工审批。
MCP 提供的是调用协议，不替企业决定这些规则。阿里云开发者社区 2026 年 10 月的实践文章提到，MCP 解决的是标准化接入问题，并不会自动保证工具调用的安全性和业务正确性。这个判断值得企业在设计阶段就写进方案。
MCP 能力接入：减少重复集成
没有统一协议时，M 个 AI 应用连接 N 个系统，往往要做 M×N 套适配。每个应用的参数格式、鉴权方式和错误处理都可能不同。MCP 把连接方式收敛成一套协议，应用侧实现 Client，系统侧实现 Server，组合关系接近 M+N。
生态数据说明了这种收敛的速度。截至 2025 年 12 月，公共活跃 MCP Server 超过 10,000 个，覆盖从开发工具到财富 500 强企业的部署场景；AWS、Cloudflare、Google Cloud 和 Microsoft Azure 等基础设施厂商也提供了 MCP 部署支持。远程 Server 通过 Streamable HTTP 提供服务，本地 Server 通过标准输入输出与宿主通信，企业可以按数据边界选择部署位置。
接入成本下降，治理成本不会自动消失。 当企业内部出现几十个 Server、上百个工具时，新的问题会浮出来：谁负责注册，谁能调用，以谁的身份调用，调用记录保存在哪里。这也是 MCP 网关这类组件出现的原因。阿里云开发者社区 2026 年 10 月的另一篇文章把网关的职责概括为工具注册发现、身份认证、细粒度授权、调用审计和内容检测。这些能力超出协议本身，却决定了 MCP 能否在生产环境稳定运行。
MCP 不解决哪些问题
MCP 不规定模型如何使用上下文。 官方文档明确写明，MCP 只关注上下文交换的协议，不规定 AI 应用如何使用大模型，也不规定如何管理传入的上下文。检索策略、提示词组织、任务拆解，仍由智能体应用自己设计。
MCP 不自动保证权限与业务正确性。 协议可以传递令牌和能力声明，不能替企业完成身份映射、额度控制和业务校验。工具是否该开放给某个角色，需要权限系统回答。
MCP 不承担编排、记忆和评测。 多步骤任务如何拆解、失败后如何重试、长期记忆放在哪里、效果如何衡量，属于智能体平台和运行时的工作。
MCP 不保证工具实现的质量。 Server 由不同团队开发，描述是否准确、返回结构是否稳定、异常是否可读，都会影响智能体的调用成功率。
协议本身也在演进。2026 年 7 月 28 日版本的规范把每个请求设计为自带协议版本和能力信息，支持无状态部署；Sampling，即采样，被标记为弃用，新实现建议直接对接模型提供方的接口。企业接入时应锁定协议版本，并准备兼容策略，避免 Server 与 Client 的版本错配。
企业接入前要回答的四个问题
MCP 能不能发挥作用，很大程度取决于接入前的设计。以下四个问题可以直接用于方案评审。
调用主体是谁。 智能体是以用户身份访问系统，还是以自身身份访问。前者便于沿用原有权限，后者需要单独授权和限额。两者混用时，要避免智能体拿到超过用户本人的权限。
哪些动作可以自动执行。 把工具按只读、低风险写入、高风险动作分级，明确每一级的确认方式和额度上限。涉及资金、对外沟通和个人信息的动作，优先保留人工确认。
调用过程能否追溯。 一次工具调用至少应记录调用方、工具名、参数摘要、执行状态、耗时和返回结果摘要。ThinkingAI 的 Agentic SDK 通过 Trace 采集调用关系、执行状态、耗时和 Token 使用等结构化数据，并把智能体运行过程与用户操作关联到同一会话；Agent 观测平台 AI Monitor 再基于这些记录定位失败、长耗时和异常 Trace。接入 MCP 后，这类观测能力可以帮助团队判断问题出在模型、工具还是权限。
部署边界在哪里。 本地 Server 适合访问内网文件和个人环境，远程 Server 适合跨团队共享。涉及敏感数据的工具，可以放在私有化环境中，通过受控网络对外提供服务。ThinkingAI 的 Agentic Engine 支持私有化部署和多 Agent 协作，适合对数据主权有要求的企业承接编排与运行。
对多数企业，比较稳妥的起点是只读、高频、低风险场景，例如查指标、查订单、查知识。先跑通身份、权限和审计，再逐步开放写入类工具。工具数量增加后，再引入网关和统一目录，避免每个团队各自维护一套连接。
MCP 常见问题
MCP 和普通 API 有什么区别？
API 是系统之间的调用约定，解决的是两个系统如何交换数据。MCP 在 API 之上增加了面向 AI 应用的发现、描述和调用规范，让模型知道有哪些能力、需要什么参数、返回什么结构。MCP Server 的底层仍然可以调用 REST API、SDK 或数据库。
MCP 和 Function Calling 需要二选一吗？
不需要。Function Calling 解决模型如何表达调用意图，MCP 解决工具如何被发现和连接。模型可以按 Function Calling 的格式提出调用，平台再通过 MCP Client 把请求转发给对应的 Server。两者配合，工具接入和模型调用可以分开演进。
MCP 只能接工具吗？
不只接工具。Tools 负责执行动作，Resources 提供可读取的上下文，Prompts 提供可复用的交互模板。三类原语覆盖了读数据、做动作和按模板组织输出三种需求。
小团队需要接入 MCP 吗？
系统数量少、流程固定时，直接调用 API 往往更简单。当工具数量增加、多个智能体需要复用同一批能力，或者需要同时支持多个模型和宿主时，MCP 的标准化收益才会明显。判断标准可以看两点：同类连接器是否重复开发，工具变更是否牵动多个应用。
MCP 安全吗？
协议提供了角色隔离、能力协商和 OAuth 鉴权建议，安全性仍取决于实现。企业需要自己完成身份映射、最小权限、审批、审计和网络边界控制。把 MCP 当成连接层，把安全治理放在平台层，责任会更清楚。
MCP 会取代智能体平台吗？
不会。MCP 负责连接外部数据和工具，智能体平台负责模型接入、任务编排、记忆、权限和观测。两者是上下游关系，缺一方都难以支撑生产环境。
参考来源：
- Model Context Protocol 官方架构文档，2026-07-28 版本，https://modelcontextprotocol.io/docs/2026-07-28/learn/architecture
- Anthropic，Introducing the Model Context Protocol，2024 年 11 月，https://www.anthropic.com/news/model-context-protocol
- Anthropic，Donating the Model Context Protocol and establishing the Agentic AI Foundation，2025 年 12 月，https://www.anthropic.com/news/donating-the-model-context-protocol-and-establishing-of-the-agentic-ai-foundation
- 阿里云开发者社区，《Agent、MCP、Skill、CLI、Model：企业老系统接入 AI 的架构与改造路径》，2026 年 10 月，https://developer.aliyun.com/article/1770341
- 阿里云开发者社区，《MCP网关技术图谱2026：定义、工具接入、权限治理与落地策略一览》，2026 年 10 月，https://developer.aliyun.com/article/1771361
