MCP 服务器往往是第三方代码，其声明的权限提示（如 readOnly）只是自我描述，无法被宿主程序强制验证，因此 Atomic Agent 采取'默认有罪'策略将所有 MCP 工具视为变更操作。