MCP46 篇实战文章

八月底 Marcos Somma 在 dev.to 发的那篇讲 AI 记忆的，我上周翻到，读完正文又翻完 45 条评论，今天才写。值得推的原因不是骨架新。MemGPT 的分层记忆、Letta 的有状态 agent、官方 MCP 示例里的知识图谱记忆服务器，作者自己在文里都列了，没装新架构。

那个数字我盯了很久：三周，20 万个 GitHub 星。一个开源的 agent harness，2026 年 8 月从零涨到这么多。同一段时间里，它的插件生态冲过了一万三千个仓库。 我当时没什么羡慕感，就一个念头：这背后有多少人，已经说不清自己机器上住过多少个 AI 插件了？ 我就是那个人。

这条在讲 AI 代理做授权时的一个问题：代理拿着用户的身份去干活，权限给多了，提示注入或者幻觉一触发，干出来的事比人工误操作狠得多。出处是 Evan Lin 在 dev.to 上的一篇笔记，7 月底发的，同时挂在他自己博客上。

先说那个让我反复确认了好一会儿的洞。 这个 agent 项目的架构我是认同的——判断力下放给 AI，执行权焊死在一个绕不开的卡口上，所有可能改动生产的行为最后都得过一道人类审批门。门由 harness 强制执行，不由 agent 自己决定"我觉得可以先斩后奏"。先跑通护栏，再谈自动化。

“先调用 listconnections，逐字复制返回的 platformId，绝不能自己编造。”这是那篇发在 dev.to、讲 MCP 发布风险的文章里，服务器给代理下的第一条指令。你品品这语气：它不是在教代理怎么做，是在求代理别给自己加戏。

今天在 dev.to 上刷到一篇七月下旬的文章，讲的是给 Claude Code 加一个有状态的图像编辑能力，项目叫 nb2liteskillclaude。

你调试的时候让 AI 读过快照级别的上下文吗？ 我遇到过那种特别自信的错误，到今天想起来还觉得后脑勺发凉：AI 告诉我一个队列"没配死信队列，要补一下"，我信了，加了，推上去。后来发现人家早就配了——只是 AI 读的是周一拍的快照，DLQ 是周二加的。

换过新会话的人应该都有这个体感：开完一个 Claude Code 会话，工具刚加载完，上下文的预算已经没了一大截。回头翻第一屏，全是 mcpservernametoolname 的函数签名——一个工具挨着一个工具，密密麻麻躺在那儿，像收租的。你真正想写的需求还没开始写，房租先交了一轮。

前几个月翻到一篇 Google Developer Experts 系列的文章，讲跨区域 agent 架构。看着看着我愣住了——不是学到了新东西那种愣，是发现自己之前画 MCP 的图一直画错了的那种。我一直把它画成“能力扩展”，它其实是“数据出口”。这两个画法差得不是一点半点。 先看我第一版的图。

前几天在 arXiv 刷到一篇 8 月 14 日提交的论文，Mandato（arXiv:2608.14074），讲在协议层给 AI 代理的行为做数字签名授权强制，外加一条哈希链审计日志。这个方向我之前一直觉得重要但没人认真做，看到有人真把架构写出来了，就花了一个晚上拆开看看。

前两天 arXiv 上刷到一篇 cs.CR 的论文，8月18号挂出来的，讲 AI agent 在 Web3 里跑 MCP 和工具调用时的攻击面。休斯顿那边一拨人，Karanjai、Shi 那个圈子。 我第一反应是划走。agent 安全的 survey 这两年多到能铺地板。

说实话，今天差点又合上电脑。 晚上刷到一个开源项目叫 Palmier Pro，写的是 "AIassisted video editing"——macOS 原生，Swift 写的，跑起来会暴露一个 MCP 服务器，可以接 Claude Code、Cursor 这些同桌。

我把它叫做：铸读。先记着这两个字。 InsightsTrack 是个自托管分析项目，写着“隐私优先的 Google Analytics 替代品”。往下翻完功能列表我才看出来，它的野心不是换掉 GA——是把整套分析能力铸成 17 个只读 MCP 工具。

我干过最蠢的事，是坐在那儿看 Claude Code 排查一个 Kubernetes 问题。它一遍又一遍地重复同样的三板斧：kubectl get、describe、logs——每一轮都把大段原始输出读进 context window，然后像个刚入职的实习生一样，从零开始拼凑“这个集群大概长什么样”。

你每天让 agent 读多少次 tool description？每个会话还没开口，它就把能调的工具描述扫一遍，按描述决定调谁不调谁。而你——可能和我一样——从来没校验过那句描述还是不是你上次看过的。 MCP server 本质上就是没上锁的依赖。

你每天让它翻多少次旧账？打开它自己那堆备忘，找到上周那条决策，确认当时到底否了谁。我这边一天几十次，然后它总能翻出一段早就被否决的方案，用"这次肯定行"的语气重新提一遍。这种时刻你想砸键盘。 它记性不差的，攒了 700 多条 Markdown 备忘，5MB 左右，每天重新索引。

这个动作你一周至少做两次：拉一个新的 MCP 进来，或者换一台机器，把私钥贴进 .env，然后告诉自己“文件权限看着呢，没事”。我每次贴完都有一点不安。环境变量挂在 /proc 里，有读权限的进程就能摸走，这我三年前就知道了，只是一直没动手。

Manufact 拿了 YC S25 的牌，做 MCP 托管平台。GitHub 星标过万，SDK 下载数七百万，连 NASA 都在用——这故事讲得真好，账本上不这么写。你以为它卖的是 MCP 托管？其实它卖的是"一键过审上架"的通道费。

dev.to 那条帖子底下的评论我基本翻完了。有意思的不是帖子本身，是底下各说各话的散点：有人只加载技能索引，等任务真匹配上了才把完整的 SKILL.md 读进来；有人拿同一份数据源做了两份实现，一份纯 markdown 的 Skill，零安装，只跑 Claude Code，另一份是支持桌面端和 Cursor 的 MC

旧稿是这样写的： 请仔细查看这个网页，告诉我它的布局和交互有什么问题，注意控制台的报错信息。 三十几个字，当时觉得挺周到。现在看，"仔细"是态度，不是标准；"布局和交互"是我嘴里的词，不是模型眼里的东西；"控制台的报错信息"——我凭什么觉得控制台里会有报错？这整句话的毛病不在措辞，在【这个网页】四个字：我在让模型猜一个