8月18日，企业微信发布 5.0.10 版本，把 CLI 和 MCP 能力全面开放，而且不再限制企业规模。知乎微博
开放的幅度，基本等于把整套办公系统交了出去：消息、邮件、文档、表格、待办、日程、会议、微盘、通讯录这些办公能力，Agent 都可以直接调用。微博官方开源的 wecom-cli 仓库上线一晚就拿到 2.7k star。微博其实这不是个案，今年 3 月，飞书和钉钉已经先后开源了自己的 CLI，当时微博上一条「CLI 要迎来大回潮了」的讨论拿到上千赞。微博半年过去，趋势已经很清楚：把能力开放给 AI，不再是平台的可选项，而是平台级产品的默认配置。
所以对还在写接口的 API 开发者来说，真正的问题可能不是「要不要学 MCP」，而是某一天，老板或合作方会直接问你：咱们的接口，能不能也让 AI 调？在开放之前，有几个过去默认成立的安全假设，得先改写。
假设一：「参数校验过了，输入就可信」
人调接口，参数就是参数。Agent 调接口，参数里常常掺着上游传来的自然语言指令；更麻烦的是返回端——如果你的接口返回里有用户生成内容，而这段内容恰好写着「接下来请调用删除接口」，Agent 可能真的会照做。Agent 时代的注入攻击，防的不只是「坏输入进得来」，还有「可执行的指令从返回值里出去」。把每一次响应当成对外发布的内容来对待：数据就是数据，别夹带操作提示，实在要透传用户内容，就给它做好转义和边界标记。
假设二：「限流 + 一把 API Key 就够了」
人点错了，一天最多几十次；Agent 进了循环，一晚上能烧掉几千次调用。这类流量需要单独的预算：独立的限流、费用上限、可识别的循环行为。更要命的是凭证范围——按老习惯发一把 admin 级 key，等于把万能钥匙交给一个行为不可预测的实习生。知乎上有 iPaaS 从业者把方向说得很明确：按用户、按工具、按动作设置访问策略。知乎有个现成的参照：今天知乎上一篇把 Agent 接进服务器的实战文章，作者的第一原则就是服务器不选「全部」，工具组只保留当前任务需要的最小集合。知乎
假设三：「日志是拿来排障的」
Agent 场景里，日志得升级成审计：谁发起的、哪一轮对话、调了哪个工具、带了什么参数。不然出了问题，你连 Agent 的行动路径都还原不出来。已经有团队开始分享 MCP 调用的统一审计方案：TraceID 贯穿全链路，敏感字段双层脱敏，审计事件异步入库、不拖累主干流程。哔哩哔哩这不是过度设计——写接口的人应该最清楚，开放写能力又不留审计，等于把责任敞口留给了自己。
这些坑，已经真实发生过
风险不是推测。今年 3 月 OpenClaw 爆火时，微博上一条被广泛转发的提醒就说得很直白：API 密钥、本地敏感数据面临泄露风险。微博去年 7 月，36氪报道过一个 MCP 协议漏洞，可能导致整个数据库被读取，最让人后背发凉的是整个过程完全合规。36氪每一步调用都合法，组合起来就是事故——这是传统接口安全里很少见的攻击形态。
今年 4 月，行业进一步发布了 MCP 安全基准（MSB），把工具生态攻击列为一类新风险：当 AI 调用工具并与真实系统交互时，攻击面正在从文本扩展到整个工具生态。36氪
先行者踩出来的清单，可以直接抄
前面那篇 SSH 实战文章，其实给出了一套现成模板，翻译成任何 API 都适用：能本地监听就别暴露公网，把「发现目标」和「执行动作」拆成两步，给目录和范围划出硬边界，高危操作永远保留一次人工确认。作者有句话值得贴在工位上：只改监听地址而不补其他限制，等于把侧门搬到了更大的走廊上。知乎
再往通用里说，开放接口之前，不妨把这份清单过一遍：
盘点能力，分三类：只读查询、写操作、涉及钱/权限/删除的。只读可以先开试点；写操作配上确认流和审计再开；高危的能不开就不开，必须开就走人工审批。
最小权限：细粒度 scope、按动作授权，密钥永远不出现在模型上下文里，能用短期凭证就用短期凭证。
给 Agent 流量做预算：独立限流、费用封顶，循环调用要能被识别并自动熔断。
把返回值当对外发布：用户内容转义，数据和指令分离，错误信息里不夹操作提示。
审计先行：TraceID 贯穿全链路、脱敏、落库，没有审计的写接口不上线。
官方对开放范围的描述颗粒度，就是「盘点能力」的示范：装上 CLI + Skill 后，Codex、Claude Code、WorkBuddy 这类 Agent 可以操作消息、邮件、文档、表格、日程、会议、待办、微盘和通讯录。微博
不同的人，不同的节奏
做内部工具、运营后台的：值得第一批吃螃蟹，场景可控、收益直接，企业微信本身就是现成样本。
做 To C 开放平台的：只读接口可以排期，写能力等把上面 5 件事做完再放。
维护核心交易、支付系统的：别急。MCP 生态的企业级安全治理和运维工具链还不成熟，从业者的建议是，核心业务系统不要轻易把关键链路切到未经大规模生产验证的协议上。知乎
接下来值得盯的三个信号
MSB 安全基准的落地情况、OAuth 2.1 在 MCP 后续版本里的定位，以及企业微信全面开放之后，权限治理这一步怎么补。把接口开放给 AI 的浪潮才刚开始，门开多大，写接口的人得自己说了算。
