恶意指令抵达模型有两条路径：一是工具描述本身（工具投毒），二是服务器实现代码中的行为（如postmark-mcp的BCC隐藏在邮件API实现里）。