Agent 产品过去习惯把“会调用工具”当作进入生产环境的门槛。但 MCP 即将移除协议级 session、Microsoft 把专用安全模型嵌进超过百个 Agent 的漏洞处置系统、NVIDIA 又联合多家厂商组织开放 AI 安全栈，这几件事共同指向同一个更实在的变化：Agent 正在从依赖长连接和隐式状态的演示型程序，变成可以被路由、审计、隔离和扩展的服务系统。
状态不能再藏在一条连接里
MCP 的新 release candidate 移除了 initialize 握手、Mcp-Session-Id 与协议级 session。请求改由版本、方法和名称等显式 header 描述；浏览器实例、购物篮或长任务等应用状态，需要由工具返回可追踪的 handle，而不是寄存在某条连接中。规范同时补上缓存语义和 W3C trace context。
这是一项破坏性迁移，却也是远程 Agent 服务走向常规基础设施的前提。隐藏 session 会让负载均衡、故障切换、多区域部署和权限审计变得脆弱：连接一断，状态边界和责任边界都不清楚。显式资源 ID 虽然要求开发者认真建模状态，却让网关能够按工具限流，安全团队能够回放调用链，运行团队也能把服务放进普通的无状态扩缩容体系。
模型路由开始服从权限和风险
Microsoft 发布的 MAI-Cyber-1-Flash 不是又一个独立 benchmark 的故事。它被放进 MDASH 漏洞发现与修复系统，承担约九成常规任务，把更昂贵的 GPT-5.4 留给少数困难步骤；微软称该组合在其 CyberGym 评测中实现了更低的单位成本。无论具体成绩仍需外部复验，这个架构选择已经很明确：不同风险、复杂度和副作用的任务，不应由同一种模型、同一套权限一视同仁地处理。
这会改变团队设计 Agent 的顺序。先定义哪些步骤可自动执行、哪些只允许提出建议、哪些必须进入 sandbox 或人工批准，再决定该调用什么模型，通常比先挑选“最强模型”更可靠。模型路由不再只是节约 token 的技巧，而是权限分层和事故控制的一部分。
安全不再是模型外的一层补丁
NVIDIA、Linux Foundation 与多家企业发起 Open Secure AI Alliance，也把问题从单一模型安全扩展到了完整运行面：权重格式、Agent 身份、工具权限、harness、日志、评测和供应链都需要进入同一份治理清单。联盟本身不等于一套已经成熟的产品，但它反映了企业采购和开源生态的共识正在变化。一个模型是否“安全”，不能只由其权重是否开放或是否带有 guardrail 决定，还取决于它被谁调用、能访问什么、出了问题能否定位和撤销。
对开发团队而言，接下来的工作不是立即重写所有 MCP 工具，而是做一次依赖盘点：现有服务是否把身份或业务状态绑在 session 上，工具调用是否有 trace ID，写入类操作能否限制权限并保留批准记录，故障时能否安全重放或取消。对平台团队而言，应把小模型、强模型、sandbox 与人工升级做成可观测的策略，而不是散落在 prompt 里的临时约定。
我的判断是，Agent 的下一轮竞争不会只看谁能多接几个工具，而会看谁能把执行过程变成一套可管理的系统。无状态协议、显式状态、分级模型路由和可审计安全控制看起来都不如新模型发布吸引眼球，但它们决定了 Agent 能否从个人效率工具真正进入企业的关键流程。
参考来源：Model Context Protocol：2026-07-28 Release Candidate、Microsoft AI：MAI-Cyber-1-Flash in MDASH、NVIDIA：Open Secure AI Alliance