MCP Boundary：我给 Agent 的工具调用加了边界，稳定性反而更高了

最近几周我在把更多开发流程交给 Agent。体感上最明显的变化不是“它会不会做”，而是“它能不能持续做对”。

一开始我也走过一段弯路：为了追求一步到位，我给了 Agent 过多工具权限，结果是效率看起来更高，但风险和返工也一起放大。后来我把重点从“能力上限”改成“信任边界”，系统稳定性反而提升了。

这篇是我最近在 MCP 场景里的复盘：在 AI 工程里，热点确实在变，但真正值得长期投入的，还是工具调用的边界设计。

1) 今年的一个明显趋势：Agent 正在从“回答问题”走向“执行动作”#

从最近一批 Agent 实践看，大家关注点已经不是单轮问答质量，而是端到端执行质量：能不能读系统状态、调用工具、做出可审计的变更。

这让工具协议（比如 MCP）和运行时编排突然变得很关键。因为一旦 Agent 从“说”进入“做”，问题就从 prompt 是否优雅，变成了权限是否可控、动作是否可追踪、失败是否可回退。

我的结论是：Agent 工程的第一约束不是“模型最强”，而是“动作最可控”。

2) 我踩过的坑：默认全开权限，会把小错误放大成系统事故#

我早期把工具权限配得比较松，想着先跑通流程再收敛。结果出现了三个典型问题：

1. 读写权限混用。一个本该只读的检查任务，最后带出了写操作。
2. 指令注入扩散。输入里的脏内容沿着工具链继续传播，放大了误动作概率。
3. 失败不可见。任务“看起来完成了”，但中间关键步骤其实降级或跳过了。

这些问题本质上都不是模型能力问题，而是边界和治理问题。

3) 我现在固定做三件事：最小权限、显式审批、全链路审计#

我把工具调用策略收敛成三条硬规则，简单但有效。

最小权限（Least Privilege）#

默认只给只读工具。只有明确需要写入时，才临时提升权限，并且限定作用域。

显式审批（Human-in-the-loop）#

所有“不可逆动作”必须过审批点，比如删除、发布、批量更新。哪怕这一步多 10 秒，也比线上回滚便宜太多。

全链路审计（Traceability）#

每次工具调用都记录：谁触发、调用了什么、参数是什么、返回了什么、为什么继续下一步。这样复盘不靠猜，调优也不靠感觉。

4) 我用两个指标判断边界是否生效#

我不再只看任务完成率，而是盯两个更接近生产真实风险的指标：

• 约束违规率：是否触碰禁写目录、越权调用、跳过审批。
• 回退成功率：出错后能否在预期时间内恢复到安全状态。

当这两个指标开始稳定时，Agent 才算真正进入“可运营”阶段。

结尾#

AI 时代的热点会不断切换，从模型能力到 Agent 协议，再到工具生态和运行时平台。但对我来说，真正的分水岭很朴素：

不是你给 Agent 多少能力，而是你能不能给它一套清晰、可执行、可审计的边界。

如果你也在把 Agent 接进真实工作流，我建议先做一个最小动作：把当前工具分成“只读、可写、不可逆”三类，并给不可逆动作加审批点。通常只做这一步，稳定性就会立刻提升。