MCP 安全监控：今天诚实地看得到什么

2026-10-17 — MCP 之于 agent，就像 USB 之于外设：一夜之间所有工具通过同一个插座跟所有 agent 对话，而其中大部分流量，在你现有任何日志里都不可见。安全讨论大多直接跳到拦截与阻断。有一个更早的问题值得用证据而不是直觉回答：就你现在的位置，今天实际能看到什么？

动作真正发生的那个层

提示词是观点，工具调用才是动作。一个接入 MCP 的 agent 的真实爆炸半径就是它的服务器清单：哪些服务器可达、各自暴露哪些工具、哪些调用真的在飞。这条传输缝——客户端与服务器之间的流量及其身后的本地进程——是运行时可以在不假装读心的前提下观测的位置。

Phase 0 对 MCP 形状的动作记录什么

• 发起流量的 agent 家族与进程归属——先归属，再解读
• 调用形状：服务器、工具、参数封套——归一化形态而非私密载荷，任何内容入记录前都先过脱敏层
• 这次调用在机器上产生的文件、进程、网络副作用——因为工具调用有意思的部分，是它随后碰了什么
• 动作当时生效的策略判定——目前是观察并记录（would_block 风格）；对 MCP 调用做闸门属于路线图，本页不预支

这一页刻意不宣称什么

没有内容级扫描的承诺，没有“已检出恶意 MCP 服务器”的戏，没有任何阻断动词。MCP 传输层的检测深度按接入方式在<a href="/zh-cn/supported-agents/">支持的 agents</a>如实标注，当前构建对“观察”与“阻断”的界线写得明白（<a href="/zh-cn/security/">安全模型</a>）。在 Phase 0 的页面上假装 Phase 1 的能力，是在代码兑现之前把信任花掉。

接下来往哪看

记录格式在<a href="/zh-cn/docs/">文档</a>侧；审计轨迹逐行拆解见<a href="/zh-cn/blog/agent-actions-audit-trail/">这一篇</a>。如果你在 coding agent 下运行 MCP 服务器，并且想要这层流量的带判定版本，<a href="/zh-cn/early-access/">抢先体验名单</a>是最短的诚实路径——你发来的需求形状，就是规则文件调参的依据。