MCP 全称 Model Context Protocol(模型上下文协议),是一项开放标准,让 AI 助手可以直接在你的其他应用里干活:搜索 Notion 页面、在 Linear 里建工单、查看日历,或者更新客户记录。当 Claude 提供“连接器”(connectors)、ChatGPT 列出“插件”(plugins),或者 Microsoft Copilot 的 agent 调用外部工具时,底层干活的通常就是一个 MCP server。
到了 2026 年,它的分量比一年前重得多。MCP 由 Anthropic 创建,但现在归属于 Linux Foundation 旗下的一个组织,由 Anthropic 与 OpenAI、Block 共同发起。维护者称,开发者用来构建 MCP 的软件开发工具包(SDK)每月下载量已接近五亿次(MCP blog),而且今年发布的规范版本针对大型企业场景对协议做了重构。
问题在于,能访问你各种应用的 AI 可能被人欺骗,也可能被你过度信任,现实中已经出现过真实事故。下面会讲清 MCP 是什么、人们用它做什么、哪里容易出问题,以及连接第一个 server 的安全做法,最后还附有一份点击 Connect 之前要过一遍的检查清单。
MCP 是一种通用的“菜单格式”,而不是某个产品
在 MCP 出现之前,每一对 AI 应用和业务工具都需要一套定制集成。Anthropic 在 2024 年发布这项标准时,把问题说得很直白:“每接入一个新的数据源,都需要单独做一套定制实现,真正互联的系统因此很难扩展”(Anthropic)。发布时附带了面向 Google Drive、Slack、GitHub 和 Postgres 的现成 server,规范也公开发布,任何公司都可以基于它开发。
项目官网把 MCP 形容为“AI 应用的 USB-C 接口”(modelcontextprotocol.io)。就“插头”而言,这个比喻没错,但它漏掉了你真正关心的部分:通过这个接口传递的到底是什么。餐厅是更贴切的比方。你连接的每个应用都是一间后厨,它的 MCP server 递出一份菜单:列出它能做什么(“搜索页面”“创建任务”),每一项都用平实的语言描述。MCP 就是大家约定好的菜单格式。你的 AI 应用是服务员,它能读懂任何一间后厨的菜单,判断哪些符合你的需求,并在点会改动你数据的菜之前先问你一声。
读到风险那一节时,请记住这个比方。菜单是后厨写的,而服务员会逐字阅读,包括那些你根本看不到的小字。
统一格式改变了成本的算法。设想有 5 个 AI 应用和 20 个服务。如果都做定制集成,最多要做 100 套,每一套都得有人维护。有了 MCP,每个 AI 应用只需学会这个格式一次,每个服务只需发布一个 server,总数就降到了 25。
对你来说,好处在于可迁移。比如 Notion 的托管 server,文档里就用同一个地址说明了如何接入 Claude Code、OpenAI 的 Codex 和 Cursor。如果你的团队明年换了 AI 应用,原来的连接也可以带走。
工作原理:host、client 和 server
整个体系靠三个角色运转,MCP 文档对它们的定义很明确。host 是你打字使用的 AI 应用。server 是一个小程序,用 MCP 格式描述某个服务的能力。client 位于 host 内部,负责维持一条连接,host 会为它连接的每个 server 各创建一个 client。
所以当 Claude 同时连着你的笔记、日历和 CRM 时,它其实运行着三个 client,各自对接一个 server。这些你都看不到,你看到的只是一份连接器列表,每项旁边有个开关。
这张图从左往右读。你用日常语言提问,host 判断已连接的 server 有没有能帮上忙的,请求再经由对应的 client 送到那个 server。琥珀色的那条带是整个设计的关键:所有连接都说同一种格式,所以 host 不在乎 server 是哪家公司做的。
server 分两种。本地 server 运行在你自己的电脑上,常见于编程工具,需要你安装东西。远程 server 运行在厂商的基础设施上,你通过互联网访问。大多数非开发者用的是远程 server,通过 OAuth 连接,也就是你多年来一直在点的那种“使用……账号登录”的授权流程。你在服务自己的页面上批准访问,AI 应用全程看不到你的密码。
每个 server 可以提供三类东西。Tools(工具)是动作,比如创建页面、发送消息。Resources(资源)是 AI 可以读取作为上下文的数据,比如一个文件或一条数据库记录。Prompts(提示词)是针对常见任务的现成模板。实际使用中你注意到的大多是工具,风险也主要集中在工具上。
规范里有一条规则,决定了后面所有的事。host “必须在调用任何工具之前获得用户的明确同意”,而且除非来自可信的 server,工具描述应一律视为不可信。规范也承认,MCP “无法在协议层面强制执行这些安全原则”。你能不能看到合理的审批提示,完全取决于你用的那款应用。
2026 年人们用 MCP 做什么
主流 AI 助手现在都内置了 MCP,只是各有各的叫法。区别在于:server 在哪里出现、能不能添加目录里没有的 server,以及 AI 行动之前会发生什么。
在 Claude 中,MCP server 以连接器的形式出现在 Customize > Connectors 下的统一目录里,网页端、桌面端、移动端、Claude Code 和 Cowork 共用这一份。Anthropic 自己举的例子包括在 Linear 里创建 issue、发送 Slack 消息、搜索 Google Drive,有些连接器还是交互式的,可以直接在聊天里画出仪表盘或任务看板。每个条目都带有标签:Verified 表示 Anthropic 测试过其中的工具,Community 表示 Anthropic 筛查过该条目,但没有深入审核(Claude docs)。
OpenAI 的开发者文档现在把 ChatGPT 的集成称为插件(plugins):它可以把 MCP server 和名为 skills 的可复用指令打包在一起,收录在 ChatGPT 与 Codex 共用的同一个目录里。对于目录之外的 server,ChatGPT 在网页端的 Plus、Pro、Business、Enterprise 和 Education 账户上提供开发者模式(developer mode)。OpenAI 的说法很直白:它“功能强大但很危险”,面向了解风险的人(OpenAI)。写入类操作默认需要你确认,今年 ChatGPT 还增加了一个选项,让你选择已连接的应用何时征求许可:每次都问、修改前问,或只在重要操作前问。
Microsoft 在 Microsoft Copilot Studio 中支持 MCP,这是它用来构建自定义 agent 的工具,agent 可以使用 server 提供的工具和资源。不过要看一下它的细则:连接外部 MCP server 时,Microsoft 表示你要对自己访问的工具和资源负责。Microsoft 365 Copilot 也在运行基于 MCP 的 agent,Microsoft 还点名 Monday.com、Canva 和 Sitecore 是早期的开发方。
编程工具走在了最前面。Cursor 可以从它的市场(marketplace)一键安装 server,默认在运行 MCP 工具前会先询问。Visual Studio Code 和 Claude Code 同样支持 MCP,你在 claude.ai 中添加的连接器,用同一账号登录后会同步到 Claude Code。
自动化平台在两个方向上都用到了 MCP。Zapier 把 9,000 多个应用、66,000 多个触发器和动作开放给任何支持 MCP 的助手,每次工具调用会消耗你套餐配额中的 2 个任务(Zapier)。n8n 既可以充当 server,把你的工作流变成助手能调用的工具,也可以充当 client,让 n8n 自带的 agent 去调用外部 server。如果你不确定自己需要哪一边,我们那篇 AI agent 与自动化工具对比的解读可以帮你理清。
| 应用 | MCP 出现的位置 | 目录之外的 server | 默认防护 |
|---|---|---|---|
| Claude | Connectors 目录 | 通过 URL 添加自定义连接器(免费版限 1 个) | Allow once 或 Always allow 提示 |
| ChatGPT | 插件目录 | 开发者模式,付费套餐,仅限网页端 | 写入操作需确认 |
| Copilot Studio | Agent 工具 | MCP 引导向导 | 工具由你自己负责 |
| Cursor | Marketplace | 编辑 mcp.json 文件 | 运行工具前询问 |
| Zapier MCP | 任何助手都能用的 server | 不适用 | 由你选择允许的动作 |
如今是谁在掌管 MCP
一个由某家 AI 实验室所有的标准,很难让对手买账,但 MCP 很快跨过了这道坎。2025 年,OpenAI 把它加入了 Agents SDK,Sam Altman 发帖说“大家都喜欢 MCP”。几周后,Google DeepMind 的 Demis Hassabis 表示 Google Gemini 模型也将支持它,称其“正在迅速成为 AI agent 时代的开放标准”。两件事 TechCrunch 都有报道。
随后 Anthropic 把它捐了出去。去年,Anthropic 将 MCP 捐赠给 Agentic AI Foundation(AAIF),这是 Linux Foundation 旗下的基金会,由 Anthropic 与 Block、OpenAI 共同发起,Google、Microsoft、AWS、Cloudflare 和 Bloomberg 提供支持(Anthropic)。Block 贡献了它的 goose agent,OpenAI 贡献了 AGENTS.md 格式,作为同级项目。
日常的控制权并没有转移。维护者写道,做协议决策的仍然是此前一直负责维护它的那批人,基金会不会指定技术方向。基金会带来的是中立的归属,企业加入得很快:最新公告显示成员已达 247 家机构,Visa 和 Wells Fargo 是最新加入的 Gold 会员。基金会还主办 AGNTCon + MCPCon 大会。
从一家实验室的项目变成基金会运营的标准,用了大约一年,对任何协议来说都算快。只有一环还落在后面。官方的 MCP Registry 是一个公开的 server 目录,由 Anthropic、GitHub、PulseMCP 和 Microsoft 支持,目前仍标注为预览版。它会核实发布者是否拥有其发布时使用的名称,但安全扫描要靠软件包托管方和建在其上的市场来做(MCP Registry)。一个条目只能告诉你 server 是谁发布的,不能保证它是安全的。
今年有什么变化
先说规模。去年 Anthropic 移交 MCP 时,统计的数据是:活跃的公共 server 超过 10,000 个,Python 和 TypeScript SDK 每月下载量为 9,700 万次。今年发布规范时,维护者给出的数字是主要 SDK 的月下载量“接近五亿”,TypeScript 和 Python 两套工具包的累计下载量各自都超过 10 亿次。这两个数字统计的 SDK 范围略有不同,所以看趋势就好,别太较真精度。
下载量衡量的是开发者的活跃度,而不是有多少人在用连接器。一些独立目录今年也公布了 server 总数,但它们的统计口径各不相同,所以我们没有采用。
规范本身变化很大。维护者称今年的版本是“自发布以来协议规模最大的一次修订”,其中包含对开发者的破坏性变更(MCP blog)。大部分改动你都感觉不到。server 不再需要与每个应用保持一个持续运行的会话,这让它们更容易大规模部署。新版本还把扩展(extensions)正式化了,这是一些可选的附加能力,其中有两项你可能会注意到:MCP Apps,让 server 能在聊天里绘制表单、图表等交互式界面;以及 Enterprise-Managed Authorization。
后者解决了在工作中使用 MCP 最烦琐的一件事,也就是要给每个 server 单独登录。公司通过身份提供商(identity provider)统一批准 server,员工登录后就会发现它们已经连好了。它今年进入了稳定状态,身份端有 Okta,client 端有 Claude 和 VS Code,server 端有 Asana、Atlassian、Canva、Figma、Granola、Linear 和 Supabase,Slack 也在添加支持(MCP blog)。Linear 的工程负责人说,只登录一次就把所有连接器配好,“简直神奇”。
MCP 连接容易在哪里出问题
回到餐厅的比方。现在这位服务员手里有储藏室的钥匙,接受陌生人写的菜单点单,还会读每一张钉在上面的便条。图中的大多数风险,在实验室之外都已经真实发生过。
高亮的那个,仿冒 server,是有确切受害数字的风险。2025 年,安全公司 Koi 发现一个名为 postmark-mcp 的 npm 包,冒充 Postmark 邮件服务的 server。从 1.0.16 版本起,它会把发送的每封邮件都复制一份发到外部地址,被发现时已被下载 1,643 次(The Hacker News)。这个包并不是 Postmark 做的。
隐藏指令更加隐蔽。Invariant Labs 的研究人员演示过,工具的描述(AI 会完整阅读,而你通常看不到)里可以夹带指令,比如读取私人文件,再把内容塞进某个请求里(Invariant Labs)。他们把这种攻击称为 tool poisoning(工具投毒)。同一项研究还描述了一种更隐蔽的变体:server 可以在你批准之后修改它的工具描述。
Prompt injection 根本不需要恶意 server。Invariant 还演示过:一个连着 GitHub 官方 server 的 agent,读取了公共仓库里一条被动过手脚的 issue,随后把用户私有仓库中的数据泄露到一个公开的 pull request 里。任何会读取外部人员所写文本的 server,比如邮件、网页或客服工单,都可能被人在这些文本里夹带指令。
访问权限过宽会把小失误放大成大事故。Notion 的文档写明,一旦你授权了它的 server,client 就“可以读取和更新你在该工作区中有权访问的内容”。这是正常的,也正是审批如此重要的原因。配置马虎则会让情况更糟:2025 年,Trend Micro 发现有 492 个 MCP server 暴露在公网上,没有任何认证和加密,它们开放的 1,402 个工具中,超过 90% 可以直接读取背后的数据源。
企业往往低估了数据外流的风险。远程 server 是别人的软件,Anthropic 的指引中写道,它“不运行第三方连接器的 server,也无法控制其如何处理你的数据”(Claude docs)。厂商自家的 server 也会出问题。2025 年,Asana 因为一个可能让部分客户的信息暴露给其他组织用户的 bug,把自己的 MCP server 下线了将近两周,之后重置了所有连接(The Register)。
合理的应对是加强监督,对大多数团队来说,完全回避有点矫枉过正。把连接器当成一个拿着你登录账号的新员工:第一天起就能帮上忙,但在建立信任之前要一直检查。美国国家安全局(NSA)今年发布的 MCP 指南里也表达了类似的意思,警告说“任何环节中错位的假设或细微的不一致,都可能不断传播、叠加,最终变成可被利用的漏洞。”
安全地连接你的第一个 MCP server
Claude 的文档把整个流程一步步写清楚了,我们就拿它当示例(Claude docs)。ChatGPT 的做法放在清单后面讲。
- 选一个你已经在用、也信得过的服务,最好是自己运营托管 MCP server 的,比如 Notion 或 Linear。
- 在 claude.ai 或桌面应用中打开 Customize > Connectors,点 Discover 并搜索该服务。
- 看一下标签。优先选 Verified 的条目;如果是 Community 的,要确认开发者就是该服务本身。
- 点击 Connect to Claude。你会跳转到服务自己的登录页,批准之前先看清它要求的访问权限。
- 回到 Connectors 页面,打开这个连接器,设置它的 Tool permissions。读取类可以设为 Always allow,任何会写入的操作应设为 Needs approval,删除类工具可以设为 Blocked。
- 在聊天中打开 + 菜单,选择 Connectors,为当前对话打开它。
- 先让它做点只读的事,比如总结分配给你的未关闭 issue,并用 Allow once 逐次批准,直到你摸清它的行为。
- 如果你改变主意,在同一个页面上,Disconnect 会让 Claude 退出该服务的登录,Remove 则会把连接器从你的账号中移除。
每个请求都会经过同样的五个步骤,而第三步是由你控制的。
对搜索和读取类工具,设为 Always allow 是合理的省事做法。凡是会发送、编辑或删除的,还是保留确认提示吧。审批是你在错误操作落到真实应用之前唯一的拦截机会。
在尝试自定义连接器之前,有两个限制值得知道。自定义连接器是 Claude 对任何通过网址添加的 server 的叫法。免费账户只能添加一个。而且 server 必须能通过公网从 Anthropic 的云端访问到,所以公司内网或 VPN 后面的 server 连不上。在 ChatGPT 中,对应功能藏在开发者模式后面(Settings,然后 Security and login),你在 Plugins 下创建应用。OpenAI 会把任何没有标记为只读的工具视为需要确认的写入操作,这是更安全的默认做法。
不确定哪条路适合你想接入的应用?下面的决策树最多问你三个问题。
工作账号这个分支最容易被人跳过。如果你的 AI 订阅是公司统一管理的,自己添加 server 可能会把公司数据送到没人批准过的地方。Claude 的 Team 套餐在目录里的连接器上已经设有 Request 按钮,就是为这种情况准备的。
连接之前先审查 server
目录标签有帮助,但 Anthropic 明确说明,验证“不是安全审计”,而且开发者在审核之后还可以更改连接器的工具。所以最好自己再快速检查一遍。下面这十项参考了 MCP 项目的安全指引,以及 Anthropic 和 OpenAI 给用户的建议。请勾选符合你正在考虑的这个 server 的条目。
权重是刻意设计的。“谁开发了这个 server”占三分,因为它能直接排除仿冒 server 的风险,postmark-mcp 一下子就过不了这一关。带登录页的托管 server 要优于让你把 API key(给软件用的长期有效的密码)粘贴进设置文件的那种,因为 OAuth 访问可以在源头限制和撤销。“不混用 server”这一项比看上去重要得多。Invariant 的 GitHub 演示之所以成功,就是因为同一个 agent 一边通过一个连接读取外部内容,一边又能接触私有数据。
本地 server,也就是需要你自己安装的那种,要格外小心。MCP 安全指引要求应用在运行之前,显示“要执行的完整命令,不得截断”。如果某个安装流程把命令藏起来,或者软件包来自一个你无法和厂商对上号的账号,就别装。开发者可以在我们的 Top 200 AI GitHub Repos 榜单上浏览热门开源 server,比如 MCP for Blender,不过热门同样不等于安全。
在团队中推行 MCP
团队负责人比个人拥有更好的管控手段,最好在大家各自去连东西之前就先打开这些设置。在 Claude 的 Team 和 Enterprise 中,由 Owner 为组织添加每个连接器,成员再用自己的账号登录。Owner 可以为所有人把读取和写入操作设为 Always allow、Needs approval 或 Blocked。在 ChatGPT 这边,Business 和 Enterprise 的管理员可以设置工作区级和单个应用级的默认值,决定已连接的应用何时征求许可。
如果你的公司用 Okta,问一下你想用的 server 是否支持 Enterprise-Managed Authorization。IT 部门批准一次 server 后,员工只需登录一次,不用每个工具都点一遍授权页面。InfoQ 的报道补充了一个中肯的提醒:身份提供商决定谁能连接,但管不了 agent 连接之后做什么,所以逐项操作的审批仍然很重要。
做自动化时,中间层能让你有一个统一的审计入口。Zapier 把应用凭证保存在它自己的连接层里,让你选择助手可以使用哪些应用和动作,并在 History 中记录每一次 MCP 操作。如果你在比较各个平台,可以先看工作流自动化榜单。我们那篇 AI agent 在生产环境中的经验讲了真实用户上来之后会出哪些问题。
对大多数小团队,比较稳妥的顺序是:先从只读工具开始,一次只为一个服务打开写入操作,并保持审批开启,再维护一份简短的书面清单,记录已批准的 server。处理医疗、财务或法律记录的团队,在弄清楚数据去向和保存时长之前,应当先不要用第三方 server。我们的 AI 工具隐私框架列出了该向厂商问的问题。
常见问题
MCP 只能用于 Claude 吗?
不是。MCP 虽然是 Anthropic 创建的,但 ChatGPT、Microsoft Copilot、Gemini、Cursor 和 Visual Studio Code 都支持它,而且协议现在归属于 Agentic AI Foundation,不再归 Anthropic 所有。
用 MCP 需要会写代码吗?
用目录里的连接器不需要,点几下、登录一下就行,通过地址添加托管 server 也不用写代码。自己开发 server 或安装本地 server 则属于开发者的活。
MCP 免费吗?
协议和 SDK 是开源的。费用出在周边的应用上:Claude 免费版允许添加一个自定义连接器,ChatGPT 的开发者模式需要付费套餐,Zapier 每次 MCP 工具调用计 2 个任务。
MCP 和 API 有什么区别?
API 是某个服务自己的接口,每个 AI 应用都得逐个去学。MCP server 通常会用标准格式和平实的语言描述把这个 API 包装起来,这样任何支持 MCP 的助手都能发现这个服务能做什么,并且无需定制代码就能调用。
MCP server 能看到我的整个对话吗?
按设计是不能的。server 只会收到 AI 发给它工具的请求,规范也要求 host 在把你的数据暴露给 server 之前必须征得你的同意。不过,AI 放进这些请求里的内容确实会到达 server 运营方手里,所以只连接那些你信得过、能托付这些数据的 server。