MCP 与 AI Agent 基础设施：当智能体成为算力的调用方

过去二十年，基础设施的调用方一直是人或人写的程序。现在多了一类新调用方：AI Agent。它们通过 MCP（Model Context Protocol）等标准协议自动发现并调用工具与算力，请求模式与人类完全不同。这不只是协议新闻，而是运维模型的变迁。

MCP 为什么值得基础设施团队关注

MCP 由 Anthropic 于 2024 年 11 月开源，基于 JSON-RPC 定义了 Agent 发现与调用外部能力的统一接口，核心原语包括可调用的工具、可读取的资源与提示模板。它的扩张速度在基础设施协议史上罕见：据公开数据，SDK 月下载量从发布之初的约 200 万增长到 2026 年 3 月的约 9700 万，仅用 16 个月；活跃公开服务器超过一万个；2025 年 12 月 Anthropic 将其捐赠给 Linux 基金会旗下的智能体 AI 基金会，OpenAI、Google、微软、AWS 等成为共建成员——协议已从厂商项目变成行业公共设施。

对基础设施团队，这意味着 Agent 调用正在成为新的主流流量：一个采购 Agent 会连续调用检索、数据库与推理服务，一个编码 Agent 会密集触发构建与部署工具。它们的请求模式是机器节奏——高频、突发、无耐心、重试激进。

维度	人类调用方	Agent 调用方
请求节奏	白天为主，人工间隔	全天候，机器节奏，爆发式
重试行为	失败后通常人工确认	毫秒级自动重试，容易放大故障
请求路径	单次交互为主	长链条多跳，一次任务数十次调用
成本归因	按用户或团队	按任务与 Agent 身份，需新账本
权限模型	长期凭证加角色	需任务级授权与自动过期

运维要接住的三件事

第一，容量与限流。Agent 的重试风暴会在下游已经过载时雪上加霜，限流必须放在 Agent 身份维度而不是 IP 维度；对推理 API 的调用要支持任务级预算上限，防止一个失控循环把算力预算烧穿。第二，可观测性。Agent 的调用是长链条，需要把任务 ID 贯穿到每次工具与模型调用，才能回答"这次任务花了多少钱、慢在哪一跳"。第三，安全。协议生态已经出过真实事故：2025 年 9 月，一个每周下载约 1500 次的第三方 MCP 服务器被发现被植入恶意代码，把所有外发邮件密送给攻击者；据公开统计，2025 年围绕 MCP 生态披露的安全漏洞超过 14 个。提示注入、过度授权与仿冒服务器是当前三大威胁向量，企业侧应审计服务器来源、最小化工具权限，并优先使用支持 OAuth 2.1 与会话级授权的新版规范。

从协议到算力调度

再往远看一步：当 Agent 成为一等调用方，"算力即服务"的界面也在变化。Agent 不关心你后面是 H100 还是国产推理卡，它关心 SLA 与价格——这意味着推理平台需要暴露类似 MCP 工具描述那样的标准化能力清单（模型、延迟档位、单价），供 Agent 在线比价与调度。多模型路由、按 SLA 分层的推理池，会从人工配置变成 Agent 自动协商。

写在最后

给基础设施团队三条建议：第一，现在就为 Agent 流量建立独立的身份、限流与计费维度，别等它混进人类流量里无法拆分；第二，接入 MCP 生态时把服务器来源审计与权限最小化当成上线门槛，协议标准化不等于安全标准化；第三，把推理服务的能力与价格接口标准化，准备好被 Agent "自动采购"。下一波流量的增长曲线，将由不会睡觉的调用方画出。