MCP 让 Agent 在运行时发现工具、携带上下文、调用本地或远程服务。对工程团队，这像终于有了统一插头。对安全团队，这意味着企业攻击面多了一层以前网关看不见的东西：工具目录。
过去，接入一个内部系统要过应用、账号、网络和接口评审。现在，一条 MCP 配置可能同时完成发现、鉴权和调用。评审如果还停在“这个模型供应商在名单里”，会漏掉真正执行的那一端。
01新边界在工具发现处
Agent 启动后问服务器：你有什么工具？服务器回答的列表，就是这一次任务的能力集。列表被加一项，能力就加一项。不需要改业务代码，也不需要重新发版。
因此，MCP 服务器的来源、版本、签名和配置仓库，都应进入资产清单。它和 CI 里的第三方 Action、生产里的 sidecar 是同类对象。
02凭证会顺着工具链流动
为了让搜索好用，团队常把内部 API 令牌直接交给 MCP 进程。Agent 并不持有最小权限，MCP 持有。谁能改 MCP，谁就能用这把令牌做事。返回值里如果带着密钥或个人信息，下一轮对话还可能把它们再送去模型。
评估 MCP 时至少画四段：
- 谁允许安装这个服务器
- 它以什么身份访问企业系统
- 工具入参从哪里来，能不能被外部文本填充
- 调用记录有没有和任务、用户对齐
03第三方 MCP 是供应链问题
公开市场里的“方便服务器”会快速进入开发者笔记本，再进入内部试用。名字像官方，权限像调试开关。企业内部部署前，应把它当成新的集成方：代码来源、更新通道、数据驻留、崩溃时日志去哪里。
MCP 改变的不是模型智商。它改变的是 Agent 能够碰到的系统数量。系统数量上去以后，安全工作必须从提示词，回到资产、身份和变更管理。