MCP三大核心能力：工具、资源与提示词解析

MCP（Model Context Protocol）正在成为连接AI模型与外部世界的标准桥梁。这个协议之所以重要，是因为它用三个简洁的原语（primitives）——资源、提示词和工具——重新定义了AI如何获取信息、遵循指令并执行操作。理解这三者的分工与协作，是掌握MCP设计哲学的关键。

资源：只读数据，为模型注入上下文

资源（Resources）是MCP中最基础的原语，本质上是只读数据。它们的作用非常直接：将文档、文件或其他信息源直接喂入模型的上下文窗口。你可以把资源理解为模型的"参考资料库"——当用户需要AI基于某份文档回答问题，或者需要模型参考特定数据进行分析时，资源提供了标准化的数据注入通道。

这种只读特性带来两个好处。第一是安全性：资源不会对系统产生任何副作用，读取操作天然可控。第二是确定性：模型拿到的就是原始数据，不存在执行逻辑带来的不确定性。对于需要精准引用的场景，比如代码审查、文档问答，资源原语是最可靠的上下文来源。

上下文窗口是理解资源价值的关键背景。大语言模型每次推理只能"看到"有限长度的文本，这个容量称为上下文窗口（context window）。不同模型的窗口大小从数千到数十万token不等，且填入窗口的内容越多，推理成本越高、注意力越容易被稀释。因此，如何把外部信息高效、准确地放进这个窗口，是AI应用工程的核心问题之一。资源原语正是针对这一问题的标准化答案：它规定了数据以何种格式、通过何种接口被检索并注入上下文，避免了每个应用各自拼装提示词、手工拼接文档的混乱做法。理解上下文窗口的有限性，也就能理解为什么"只读、确定"的资源比让模型自己去抓取数据更可靠。

提示词：可复用的指令模板

提示词（Prompts）在MCP中被定义为可复用的模板，提供预定义的指令。这个设计解决了一个实际问题：许多AI交互场景需要反复使用相同的指令结构，比如"请以JSON格式输出"或"请按照以下步骤分析代码"。如果每次都要手动输入，既低效又容易出错。

通过将提示词标准化为MCP原语，开发者可以把常用指令封装成模板，供模型在需要时调用。这不仅仅是便利性问题——它让提示词工程从临时性的手工操作，转变为可管理、可版本化的资产。团队可以维护一套经过验证的提示词库，确保不同会话中的指令质量保持一致。

工具：可执行函数，模型自主触发

工具（Tools）是MCP中最具威力的原语，也是最能体现"AI代理"概念的部分。与资源的只读属性不同，工具是可执行函数，模型能够自主触发它们来执行主动的外部操作。查数据库、调用API、写入文件——这些改变外部状态的动作都通过工具完成。

"自主触发"是这里的关键词。模型不再只是被动响应，而是能够根据任务需要，自行决定调用哪个工具、何时调用。这赋予了AI极大的操作能力，但也引出了最关键的问题：如何保证这些主动操作的安全性？

函数调用（Function Calling） 是工具原语得以运转的底层机制。模型本身并不执行代码，它做的是输出一段结构化数据（通常是JSON），声明"我想调用名为X的函数，参数是Y"。宿主程序解析这段声明后真正去执行函数，再把结果回传给模型继续推理。MCP的工具原语本质上是对这一机制的统一封装：它用标准schema描述每个工具的名称、用途和参数，让不同模型、不同客户端都能以一致方式发现和调用工具。这也解释了为什么权限闸门可以设在工具层——因为执行动作的始终是宿主程序，它在把模型的"调用意图"变成真实操作之前，天然拥有拦截和请求用户确认的机会。

人在回路：工具执行的权限闸门

MCP对此的答案非常明确：工具执行严格需要显式的人在回路（human-in-the-loop）许可。系统会在任何代码运行之前提示用户批准该操作。

这个设计选择值得细品。它意味着MCP在赋予模型能力的同时，把最终控制权牢牢留在人类手中。模型可以提议执行某个工具，但必须经过用户确认才能实际运行。对于涉及写操作、外部API调用或任何有副作用的动作，这道闸门是防止意外损害的最后防线。

从架构角度看，这种"能力开放+权限收紧"的组合是务实的。它承认了当前AI系统在自主性上的局限，也回应了企业对安全性的合理担忧。三个原语各司其职：资源负责"读"，提示词负责"教"，工具负责"做"，而人在回路机制确保"做"的环节始终可控。

人在回路（Human-in-the-loop, HITL） 源自自动化与人机交互领域的经典概念，指在系统决策流程中保留人类确认或干预的环节。在AI代理场景中，它通常分为几个层级：操作前审批（模型提议、人类批准）、操作中监督（可随时中断）、操作后审计（记录完整调用日志）。MCP选择的是最严格的前置审批模式，即任何工具调用在执行前都必须获得显式许可。这一选择与"最小权限原则"一脉相承——系统只授予完成任务所必需的最小能力，且每次行使能力都需重新授权。对于写文件、发请求、动数据库这类不可逆操作，前置审批能有效防止模型因幻觉或提示注入而造成的实际损害。

三原语的协作逻辑

把这三个原语放在一起看，MCP的设计思路就清晰了。资源为模型提供事实基础，提示词为模型提供行为规范，工具为模型提供行动手段。三者标准化之后，AI获得了巨大的操作能力，但确实的控制权仍然安全地掌握在人类用户手中。

对于正在构建AI应用的开发者，理解这个分层有助于做出更好的架构决策：什么信息应该通过资源注入，什么指令应该固化为提示词模板，什么动作必须走工具通道并配置审批流程。MCP的价值不在于某个单一原语有多强，而在于它用一套统一的约定，把AI与外部系统的交互拆解成了可控、可审计、可授权的模块。