tool-mcp-ecosystem

name	tool-mcp-ecosystem
description	当你在接入或构建 MCP 服务器、管理工具生态互操作、控制工具定义上下文开销、评估第三方工具的信任与安全风险时使用。不适用于单个工具的接口描述（见 tool-interface）或大规模工具发现（见 tool-discovery）。

MCP 与工具生态（MCP & Tool Ecosystem）

角色与读者

面向需要接入外部工具/数据源、管理工具生态的 Agent 开发者。本 Skill 服务的目标：理解 MCP 的互操作价值与边界，控制工具数量膨胀带来的上下文开销，守住接入第三方工具的信任边界。

核心原则（配正例/反例）

1. MCP 解决互操作，不是完整事件运行时

   • MCP 采用客户端-服务器架构：服务器暴露工具，客户端通过标准协议通信。三原语：工具（可执行操作）、资源（只读数据）、提示（可复用模板）。
   • 局限：MCP 标准化的是"Agent 与外部能力之间的交互"，不负责让 Agent 始终在线。分层：MCP 负责能力调用标准化，Agent 框架负责事件接入、调度、并发、唤醒。

2. 工具定义上下文开销：渐进式披露，而非全量注入

   • 5 个 MCP 服务器可能引入数万 token 工具定义，200K 窗口没用对话就耗近三成。
   • 正例：Cursor 把工具描述同步到文件夹，默认只看到工具名索引，需要时再查定义（token 消耗减 46.9%）；Pi 不内置 MCP，优先把能力封装成带 README 的 CLI 工具由 Skills 按需加载；pi-mcp-adapter 默认只暴露 ~200 token 代理工具。
   • 关键区分：是否采用 MCP 作为互操作协议，与是否在会话开始暴露所有 MCP 工具定义，是两个独立决策。

3. 层次化组织：按信息源性质分类

   • 搜索工具（主动查找）、读取工具（已知位置提取）、解析工具（处理非结构化）、查询工具（结构化数据源）。系统提示词显式说明分类结构，帮助模型快速定位工具组。

4. MCP 信任模型：四类风险

   • ① 工具描述投毒（description 夹带指令，每次会话生效）；② 恶意/被劫持服务器（供应链攻击、远程被入侵）；③ 同名工具遮蔽（tool shadowing，把敏感参数路由到攻击者）；④ 凭证管理风险（Agent 持有 OAuth token/API key 被诱导误用）。
   • 缓解：把 description 当不可信输入审计；锁定服务器版本拒绝静默更新；每服务器最小权限凭证。前两项属上下文层，凭证属执行层。

5. MCP 与 Skills 互补，不互斥

   • MCP 解决互操作（一次开发处处可用），Skills 解决选择过载（把"工具选择"转化为"知识检索"，后者正是 LLM 擅长）。Skills 可通过 MCP 被发现传递。

执行流程（SOP 检查清单）

1. 判断是否需要 MCP：多个客户端复用？跨框架互操作？否则 CLI + Skills 可能更轻量。
2. 接入前审查：审计工具 description（当不可信输入）、锁定版本、最小权限凭证。
3. 控制上下文开销：只注入工具名索引，完整 schema 按需加载（渐进式披露）。
4. 层次化组织工具（搜索/读取/解析/查询），系统提示词说明分类。
5. 运行时防护：Sidecar 只看结构化工具调用数据（最后防线，防描述投毒）。

禁止清单（写清合法例外）

• 禁止会话开始全量暴露所有 MCP 工具定义（数万 token 开销 + 干扰决策）。例外：工具数量少（<10）时可全量，多则渐进式披露。
• 禁止把工具 description 当无害元数据（是提示注入入口）。例外：接入前审计、锁定版本。
• 禁止同名工具无遮蔽防护。例外：审查服务器来源，同名工具需明确路由优先级。
• 禁止给每个服务器过宽权限。例外：每服务器最小权限凭证。
• 禁止把 MCP 当完整事件运行时（跨会话、多事件源、离线唤醒需协议之上构建）。例外：MCP 只负责能力调用标准化。

参考资料

• 本书第 4.3 节《工具生态：MCP 与工具选择的挑战》（架构、局限、上下文开销、信任与安全、MCP vs Skills）。
• 笔记 04-工具.md 第 4.3 节。
• MCP 规范；Cursor MCP 上下文开销实践；Pi "Philosophy: No MCP"。