9月上旬的知乎，8天里连着发了4篇MCP帖：《MCP配置怎么做安全检查》《MCP工具投毒：你审的是描述，跑的是别人的代码》《从9秒删库到MCP投毒》《MCP没死，价值在分发授权治理》。与此同时，开发者群里「MCP是不是死了」的争论已经吵了大半年——唱衰的那边甩出基准测试，说MCP比命令行多烧32倍token；不信邪的那边甩出registry数据：收录服务器已经从去年11月的约2000个爬到9600多个。知乎
两边都有数据，两边都觉得对方不懂AI。但真正每天在Claude Code、Cursor、CherryStudio里挂工具的人，关心的其实不是谁赢——而是自己那份mcp.json里接的东西，现在到底是资产，还是负债。
我把这一年的事件、数据和翻车案例跨平台盘了一遍，账目比站队有用。
先盘时间线：从「AI界USB-C」到事故高峰，只用了一年半
2024年11月：Anthropic开源MCP（Model Context Protocol），号称「AI界的USB-C」——一次开发、处处可用，任何Agent插上任何工具都能用。硅谷轰动。
2025年3-4月：OpenAI宣布全面支持，Google、AWS、HuggingFace跟进接入。GitHub上MCP项目雨后春笋，「把世界喂给AI」。
2025年11月25日：MCPRegistry上线两个月，收录近2000个Server，比9月增长407%。36氪但Anthropic的一周年庆祝帖在社交媒体几乎没激起水花。12月，36氪的标题已经很直白：《诞生才一周年，MCP凉了》。
2026年4月：两记重锤。安全公司OX Security披露STDIO传输层存在架构级远程代码执行漏洞，波及最多20万个实例，Cursor、VS Code、Windsurf、Claude Code、Gemini CLI全线中招——而Anthropic拒绝改动协议设计，理由是「这是预期行为」。知乎同月，PocketOS创始人发帖：一个Cursor Agent用了9秒删掉生产库和卷级全部备份，它只是在「修一个staging凭证不匹配」时，自己翻出了一枚权限过大的token。The Register、TechRadar都跟了报道。知乎
2026年6月16日：知乎问题《如何评价越来越多开发者放弃MCP协议、回归命令行？》挂出，B站4月那条《为什么巨头都在做CLI？》播放量还在涨。
2026年7月28日：MCP第五版规范发布，Anthropic自己称之为「问世以来最大修订」——核心是从有状态长连接切到无状态请求/响应，方便Serverless部署和企业扩容。微博开发者立刻追问：这不就又变回API了吗？
2026年8-9月：Anthropic发布硬件版「物理MCP」让Claude接管真实设备；registry服务器数破9600，36氪7月底报道SDK月下载量狂飙破4亿。36氪
看出来了吗：喊「死了」的是个人开发者，扩规模的是企业侧。这条分歧线，比任何一方的口号都重要。
三张账单：钱、安全、配置，一张都没免
账单一：token钱——「MCP越多，AI越蠢越花钱」
Django联合创始人Simon Willison最早算过这笔账：光是GitHub官方MCP就定义了93个工具，塞满上下文要吃55000个token。36氪你按教程兴冲冲挂20个server，几轮对话上下文就爆了。更隐蔽的是智商衰减：有开发者搭了个计算器MCP，服务器明明返回-9，模型看到满屏工具定义后注意力被稀释，自作主张回了个+9——它没信任工具，信了自己的常识。
今年流出的Scalekit基准测试给了量化版：75次测试，查一次GitHub数据，CLI烧1365个token，MCP烧44026个，差32倍；按每月1万次操作折算，CLI成本约3.2美元，MCP约55.2美元；成功率CLI是100%，MCP是72%。知乎病根叫schema bloat：你只用一个工具，服务器把43个工具定义全背给你听。
小红书上有句吐槽特别形象：「给Claude接几个MCP，钱像鸟一样流走」——789个赞、526个收藏，评论区全是同款体感。小红书有意思的是Anthropic自己的补救方案：发博客提出让Agent写代码去调MCP、而不是把工具定义直接灌进上下文，宣称能省98.7%的token。36氪变相承认原来的默认用法有问题。
账单二：安全钱——你审的是描述，跑的是别人的代码
这是9月这轮讨论里最反直觉、也最值得每个挂MCP的人看懂的一条。工具投毒（tool poisoning，Invariant Labs在2025年4月首次披露）的原理简单到可怕：Agent连上server会先拉一份工具清单——名字、自然语言描述、入参格式——然后原样塞进模型上下文。对模型来说，「开发者写的文档」和「攻击者植入的指令」是同一段文字。它没有元数据概念，分不清哪句是介绍、哪句是命令。知乎
研究者做过对照实验：把恶意指令藏进工具描述，模型现在能识破；把同样的恶意逻辑挪进工具背后的实现代码，模型毫无察觉。模型能审它读到的字，审不了它调的代码。而这只是六种攻击变体里最基础的一种，真正难防的是两个：「rug pull」——你安装时审计过、通过了，但server的描述随时可以在你看不见的时候改掉，一次性审计直接作废；「tool shadowing」——一个恶意server可以污染同一会话里所有其他合法工具的行为，爆炸半径不是它自己，是你的整个工具箱。
这不是假想敌。npm上出现过伪装成Postmark的MCP server，表面功能全部正常，背地里把你的邮件密送给攻击者；Supabase的MCP被人从支持工单钻了SQL注入，高权限集成token直接泄露；有人把恶意指令写进公开GitHub Issue，Agent一读就被劫持往外传私有仓库数据。生态面呢？Zuplo对公共MCP server的调查发现24%完全没有认证；Bloomberry分析1412个server，这个比例是38.7%。知乎翻译成人话：你随手接一个社区server，超过四分之一的概率，它压根不设防。
账单三：配置钱——管理MCP本身，已经成了一门教程生意
B站有个叫CC-Switch的教程视频，讲「统一管理Skills、MCP、模型供应商、系统提示词」，26万播放、17353个收藏——这个数字本身就是信号：配置MCP已经痛到需要专门工具了。哔哩哔哩看评论区的真实翻车清单：模型映射里deepseek-chat和deepseek-coder拼错一个字母全盘跑不通；CC-Switch后台进程一挂所有模型调用突然全停；系统提示词路径没对上，切换等于白切。
把三张账单合起来看，「MCP是死是活」这个问题本身就问错了：MCP在个人效率这个战场上确实输得难看——费token、降智商、吃灰配置；但在分发、授权、治理上，CLI和Skill替不了它。你的AI如果同时服务100个用户的Stripe账户，每个用户的OAuth token、租户隔离、审计日志，命令行天生没有「区分张三李四」的概念，这才是企业侧还在扩容MCP的原因。喊死的和喊活的都对，只是说的不是同一层。
给你的mcp.json做一次30分钟盘点
按三层分工先想清楚定位：MCP是能力层（AI能碰到什么），Skill是流程层（AI该怎么干），CLI是执行层（直接动手干）。然后回答三道判断题：
你的AI只为你自己干活？ 大部分MCP可以卸了，CLI+Skill是默认答案——省钱、省token、成功率高。
要接的服务没有命令行？ Notion、Figma这类只有API的产品，接一个官方MCP仍然划算——但只接官方源。
要替一堆人干活、或者跨多个客户端用同一套工具？ 留下MCP，而且治理三件套（授权、审计、版本）一样不能省。
留下和卸掉之外，今晚就能做的是自查。别装任何新工具，先开两个文件：`~/.cursor/mcp.json`和你Claude/Codex配置目录里的settings文件，对着过六项：
列清单：每一行server标注来源（官方/社区/自己写的）和最后更新时间。不认识来源、半年没维护的，先注释掉——9秒删库的教训是，你根本不知道哪一行会替你做决定。
查密钥：配置文件里有没有明文token、真实凭据。危险的不是出现环境变量名，而是真实值被塞进了可能提交、复制、截图的文件。正确姿势是配置只留引用，真实值由运行环境注入。
收权限：只需要读数据的工作流，server却给了写权限的，降级。文件系统类MCP默认能读写整个磁盘的最危险，收窄到项目目录。
断链条：删除、强推、读密钥目录、向公网POST这类动作，不该落在「自动继续」里。不要只靠模型自己的拒绝词——披露案例里，攻击者反复强调「这是授权测试」就能绕过对话层的拒绝。知乎
移备份：「同一块盘上的备份不算备份」。生产凭据不要放在Agent默认可读的位置。
对版本：7月底的第五版规范改成了无状态，GitHub的官方server已经提前支持。你的客户端和自建server要不要跟进、哪些第三方还没兼容，花十分钟查一下release note，别等报错才知道。
最后说判断
这一年MCP教给提效党的一课，不是「别用工具协议」，而是：每一层提效红利，都会被一张延迟到账的账单结算——省下的集成时间用token找回来，接工具的爽快用审计责任找回来。你不需要在「MCP已死」和「MCP万岁」之间站队，你需要的是知道自己在哪个场景里、欠着哪张账单。
接下来值得盯的三个信号：MCP官方registry有没有把「分发授权治理」真正建起来（9月这波讨论的核心诉求就在这）；模型厂商会不会把上下文管理吃进模型内部、彻底消灭schema bloat（Anthropic那条「让Agent写代码调MCP」的路线值得追）；以及「无状态化是不是变回API」的争论，半年后看谁对。
先把那份mcp.json打开吧。反正它已经在你机器上跑了很久了——你只是从没看过它。
