工具构建实践经验#

MCP核心组件：主机、客户端和服务器#

采用 client-server 模式，灵感来自于 Language Server Protocal (LSP)。

MCP核心组件包括：

• MCP主机（Host）：负责创建和管理各个MCP客户端的应用程序。职责包括管理用户体验、协调工具的使用，以及执行安全策略和内容防护措施。
• MCP客户端（Client）：嵌入在主机中的软件组件，负责维持与服务器的链接。职责包括发出命令、接收响应，以及管理与MCP服务器之间通信回话的生命周期。
• MCP服务器（Server）：提供AI应用一系列能力，包括外部工具、数据源或者API的适配器或代理。职责包括工具发现、接收和执行命令，以及格式化和返回结果。

看示意图更加清楚一些：通过Json触发调度，MCP统一管理调度工具方式，包括外部工具和内部函数。

通信层：JSON-RPC，传输方式和消息类型#

MCP使用JSON-RPC 2.0作为基本消息格式，为所有通信提供了一种轻量级、基于文本且与语言无关的结构。协议定义了四种基本消息类型：

• 请求：一方发送给另一方的RPC调用，期望得到响应。
• 结果：包含相应请求成功结果的消息。
• 错误：请求失败的消息，包括代码和描述。
• 通知：一种单向消息，不需要相应，也无法回复。

MCP支持两种传输协议，一种用于本地通信，另一种用于远程连接。

• 标准输入输出：用于本地环境中的快速直接通信。
• 流式HTTP：推荐远程client-server协议。

关键要素：工具和其他#

服务器端提供工具、资源和提示词；客户端提供采样、启发和根目录能力。

在MCP这些功能中，只有工具获得了广泛支持，资源和提示词支持程度很低。

MCP的优势#

• 简化集成过程，即插即用，使工具成为可复用和可共享的资产。
• 可在运行时发现可用工具；标准化接口定义；扩展LLM的能力和可获取的信息。
• 促进了模块化和可组合的系统设计。
• 架构为实施更健全的治理提供了必要的挂钩机制。

MCP的挑战#

安全是最大的风险，下一章节会单独描述。

初次之外，MCP当前的设计还有多项挑战：

• 性能和规模瓶颈：主要和模型上下文有关
  • 上下文窗口膨胀：每个连接MCP服务器的工具的定义和参数都必须包含在模型的上下文窗口中，导致token被大量占用。
  • 推理质量下降：过载的上下文窗口会降低人工智能的推理质量。
  • 有状态协议挑战：对远程服务器使用有状态、持久化连接的情况，可能会导致架构更加复杂，难以开发和维护。

  • 提到一种通过工具检索步骤动态加载工具的方式。

• 企业就绪差距：一些关键的企业级功能还在发展中
  • 认证与授权：目前的OAuth实现已被指出与一些现代企业安全实践存在冲突。
  • 身份管理模糊：该协议尚未有清晰、标准化的身份管理和传播方式。这种模糊性使审计、问责以及细粒度访问控制的实施变得复杂。
  • 缺乏原生可观测性：没有定义可观测源于的标准，如日志、追踪和指标。

  • 和上一篇Agent Quality对上了

动态能力注入#

• 风险：MCP服务器可能会动态更改其提供的工具、资源和提示词，而无需明确通知客户端或获得批准。恶意服务器可能会利用这一点在客户端中引发未授权行为。
• 缓解措施：明确允许列表；强制变更通知；工具和包固定；安全API和智能网关；在受控环境中托管MCP服务器。

从范围限制、变更通知、外部约束几方面控制工具权限。

影子工具#

• 风险：工具描述可以指定任意触发器，使恶意工具优先级盖过合法工具，导致用户数据被攻击者拦截或修改。
• 缓解措施：防止命名冲突；双向TLS；执行确定性策略；要求HITL;限制对未授权MCP服务器的访问。

在工具定义端通过提示词提升工具被调用的优先级，而套出敏感信息。

恶意工具定义#

• 风险：即使工具的定义是良性的，也可以通过文档和API签名来恶意操作Agent执行恶意操作。
• 缓解措施：输入验证；输出清理；独立的系统提示；对MCP资源进行严格的白名单验证和清理；

敏感信息泄露#

• 风险：MCP工具可能会无意中获得敏感信息，从而导致数据泄露。这些数据通常存储在对话上下文中，并传输给Agent工具。
• 缓解措施：MCP工具使用结构化输出；污染输入和输入标记。

不支持限制访问范围#

• 风险：MCP不支持单个工具和单个资源的进一步授权。
• 缓解措施：工具调用应使用有范围的凭据；采用最小权限原则；机密和凭证不能出现在Agent的上下文中。