删掉MCP服务器之后：AI Agent的授权难题被谁忽视了

MCP之争：人体工学没问题，授权才是盲区

围绕MCP（Model Context Protocol）的批评声正在升温。反对者的核心论点集中在"人体工学"（ergonomics）上——他们认为MCP服务器过于笨重、配置繁琐，直接让Agent调用API会更简洁、更高效。这个观点在开发效率层面并非没有道理。

但原文提出了一个被普遍忽视的问题：当你删掉MCP服务器、让Agent直接访问API时，本质上是把授权体系倒退回了"在shell里塞一个长期有效的密钥"（long-lived key in a shell）这种最原始、也最危险的状态。换句话说，MCP的批评者们把话题聚焦在了便利性上，却对安全授权（authorization）三缄其口。

为什么"直接API访问"不是安全的默认选项

让Agent绕过MCP直连API，听起来更干净，但代价往往藏在细节里。所谓"long-lived key"指的是那种一次生成、长期不轮换、权限范围极大的静态凭证。把它放进shell环境中，意味着：

权限边界的消失

一个长期密钥通常携带过度授权（over-privileged）——它能做的远比Agent当前任务需要的多。一旦Agent被诱导执行了非预期操作，或者密钥泄露，攻击者拿到的是一把"万能钥匙"，而非一个受限的临时通行证。

缺乏最小权限与时效控制

现代安全实践强调"最小权限原则"和"短生命周期凭证"。而shell里的静态密钥恰恰违背了这两点：它既没有按需授予的粒度，也没有自动过期的机制。Agent运行过程中每一次调用，都在这把"常青钥匙"的阴影下进行。

MCP（Model Context Protocol）是Anthropic于2024年底提出的开放协议，旨在为AI模型与外部工具、数据源之间的交互提供标准化接口。它的设计思路类似于USB-C——用统一协议替代各自为政的集成方式。在授权层面，MCP服务器可以作为中间代理，负责持有、管理和轮换访问凭证，Agent本身无需直接接触底层密钥。这种架构上的"中间层"虽然引入了额外的部署复杂度，但也在Agent与敏感凭证之间建立了一道隔离屏障。批评者所说的"人体工学问题"，正是针对这层复杂度的——但这种批评往往忽视了该层复杂度背后承担的安全职责。

最小权限原则（Principle of Least Privilege，PoLP）是信息安全领域的基础原则之一，要求任何程序、用户或系统组件只应拥有完成当前任务所必需的最小访问权限。与之配套的是短生命周期凭证（short-lived credentials）实践，典型代表包括AWS STS临时令牌、OAuth 2.0的access token等——这些凭证有明确的过期时间（通常为分钟到小时级别），即使泄露，攻击者的可利用窗口也极为有限。相比之下，静态API密钥通常没有内置过期机制，一旦写入shell环境变量或配置文件，可能在系统中存活数月乃至数年。在Agent场景中，由于模型行为存在一定不可预测性，使用短时效凭证的重要性比传统软件系统更高——攻击面不仅来自外部入侵，也可能来自提示注入（prompt injection）等针对模型本身的攻击。

在直连API成为安全默认之前，必须先具备什么

原文的真正价值在于——它没有停留在"MCP好还是不好"的口水战里，而是提出了一个建设性问题：如果我们真的想让直接API访问成为安全的默认选项，那么在此之前必须存在哪些前置条件？

虽然原文点到为止，但从授权架构的角度，可以推演出几个关键要素：

• 短时效凭证机制：用可自动轮换、有明确过期时间的token取代长期密钥，降低泄露后的风险窗口。
• 细粒度授权范围：让Agent每次只获得完成当前任务所需的最小权限，而非全量访问。
• 可审计的调用链路：无论是否经过MCP，Agent对API的每一次访问都应可追溯、可撤销。
• 凭证与运行环境隔离：避免把敏感密钥直接暴露在shell这类容易被读取、被继承的执行上下文中。

只有当这些机制成为基础设施的一部分，"删掉MCP、直连API"才可能从一个便利选择，升级为一个真正安全的默认选择。

对Agent安全设计的启示

这场讨论折射出AI Agent工程化过程中一个反复出现的张力：开发体验与安全边界的取舍。MCP这类中间层之所以存在，部分原因正是它承担了授权、隔离、上下文管理等"脏活累活"。当我们出于人体工学的考量想要移除它时，需要清醒地意识到——那些被抽象掉的安全职责并不会消失，只会被重新甩回到最脆弱的地方，比如一个shell里的长期密钥。

对于正在构建Agent系统的团队而言，这个提醒尤其有价值：评估任何架构简化方案时，不能只看它省下了多少配置步骤，更要问一句——它把授权和安全责任转移到了哪里？如果答案是"回到了裸露的静态密钥"，那么这种简化很可能是在用长期的安全债务，换取短期的开发便利。