AI 智能体开发圈这周有点热闹。
8 月 21 日到 22 日，几条看起来互不相关的消息，拼到一起后指向了同一个方向：你那套越叠越高的 Agent 技术栈，可能该减减负了。而最值得重新掂量的，恰恰是我们最习以为常的几个东西——MCP、大 prompt，还有"越复杂越先进"的执念。
第一盆冷水：成熟 CLI 场景里，MCP 可能让你多花几十倍
8 月 22 日，HashiCorp 创始人、Ghostty 终端作者 Mitchell Hashimoto 披露了他给 Ghostty 做 Agent 测试的实践：不用任何第三方测试脚手架，直接让两个 Agent 在循环里对抗生成 400 多个裸 Shell 脚本，在 pty 字节流上做完全相等的硬断言。知乎用他的思路说：别让一个 Agent 既当裁判又当考生，两个 Agent 互挑毛病，反而织出了最结实的验收网。
同一天，社区里还流传开一组被反复引用的实测：Pi 团队（@pidotdev）对 7 大 Agent 框架、5 款主流模型的测试显示，在 Git、Docker、Kubernetes、AWS CLI 这类命令行生态成熟的场景里，直接调原生 CLI 比走内置 MCP 便宜 5 到 28 倍。知乎说句公道话：这组数据来自社区实测，具体倍数见仁见智，但方向没什么好杠的——MCP 的 JSON-RPC 封装、Schema 描述占掉的 token，对本来就看得懂命令行输出的模型来说，是纯粹的过路费。你要接的工具如果本来就带着成熟 CLI，先写一套 Schema，等于雇了个翻译给你翻母语。
第二盆冷水：GitHub MCP 的安全更新，自己先翻了车
还是这两天，GitHub MCP Server 发了 v1.10.0，做了一整批安全加固：仓库删除要表单式确认、Bearer 凭据被限制在配置过的 authority、企业主机强制 HTTPS、静态工具集里出现未知名称直接拒绝启动、符号链接写入必须显式开启。知乎方向很对：不确定，就先停。
结果紧邻的 v1.10.1 就修了一个 add_issue_comment 的 schema 描述回归——安全更新把正常工具的参数契约弄坏了。
这事对做 Agent 的人启示很直接：“默认失败"不是装把锁就完事，它必须跟回归测试成对出现。有博主据此总结了四道闸，可以直接抄：一锁目标，token 绑域、文件绑目录、工具按任务最小化暴露；二错即停，未知工具、缺参数、非 HTTPS，在动作发生前失败；三逐次确认，删除、付款、外发、提权，一次一确认，别拿一次笼统授权换后面所有危险动作；四显式放行，跨目录写入、扩大权限不许静默继承。知乎如果你的工作流对着这四条只能回答"模型应该不会乱来”，那这不是安全机制，是许愿。
第三盆冷水：全塞进 prompt，等于没写
这周知乎上有个热度很高的回答，问题几乎是每个做 Agent 的人都问过的那句：“Agent Skill 和 MCP 和 prompt 区别是什么？”
答主是位一线实践者，复盘了自己做的退保 Agent：图省事，把退保校验、资料收集、销售拦截整套业务规则一股脑写进 system prompt。单元测试跑几十条样本一切正常，一上多轮长会话灰度直接炸——对话超过 7 轮，一部分业务约束凭空消失，合规错误涨了 24%。知乎
更经典的坑在后面：MCP 接通了但没配 Skill 做行为约束，用户只是随口抱怨保费贵，模型在单轮对话里循环调用查询接口 13 次，接口压力打满，一个有效答复都没给出来。知乎
这个复盘把三个概念的关系说透了：它们根本不是二选一，而是三层不同的东西。prompt 是当场口头交代的指令，生命周期就是一轮对话，长会话里会被新内容挤出去；Skill 是装订成册的业务操作手册，写清触发条件、步骤、校验逻辑和禁止话术，按需加载，不占上下文；MCP（或者 CLI）是取数据的通路，负责把真实业务数据拿回来，但拿回来怎么用，它不管。知乎只堆 prompt，长会话规则丢失；只有 Skill 没有 MCP，模型只能编造数据；只接 MCP 没有 Skill，通路通了，车没刹车。
那到底怎么选？先过三个问题
把本周这些信号揉到一起，我总结了三问，选型前先过一遍：
第一问：对接对象有没有成熟 CLI？有（Git、Docker、K8s、AWS 和大多数开发工具都算），优先原生 CLI，让 Agent 直接执行命令、读标准输出，你只需要在说明里写清"哪些命令能用"。不是 MCP 不能用，是那层翻译费可以不交。
第二问：这个能力要不要跨模型、跨 Agent 复用？只在单次会话用，prompt 够了；反复执行的业务流程，沉淀成可版本管理的 Skill；要对接外部系统、多个智能体共用，才做成 MCP 服务。简单的一次性问答，真不用三件套全上。
第三问：里面有没有不可逆动作？删除、付款、外发、提权，这类动作必须有逐次确认的闸门，别指望模型自觉。照前面那四道闸，按不可逆程度分层：只读查询放宽，危险动作收紧。
平台侧的信号，也值得盯一眼
Anthropic 已经让 Skills API、Computer Use、Files API 在 Claude Platform 全面可用，还新增了 Browser Use 工具——Skill 这种"操作手册"正式成了平台级基建。知乎企业微信 8 月 18 日的 5.0.10 版本放开了 CLI 和 MCP，但注意，目前只允许 Agent 分析你和客户的聊天记录，不能替你跟客户聊天，做私域的别想多。知乎社区这边，对 Claude Code、OpenAI Codex、DeepSeek Harness 的 Harness（模型外那层运行时）架构对比正在升温，"决定 Agent 体验的不是模型，是模型外面那层运行时"正在变成新共识。
如果你正打算动手，我建议先做三件事：盘点一下手头工具，看哪些自带成熟 CLI，能直接换成 CLI 调用；把那个巨大的 system prompt 拆开，可复用的流程沉成 Skill；给你的 MCP 配置加上回归测试，不然下次安全更新，你都不知道它什么时候弄坏了你的流水线。
这波讨论大概率不会很快结束，MCP 的安全规范怎么演进、Skill 生态怎么平台化、Harness 开源怎么收场，都值得持续关注。
