MCP 与 A2A：Agent 的「手」和「队友」怎么接？

接上篇智能体也要操作系统？Agent OS 一文看懂

有了 Agent OS 管 LLM、上下文、调度 之后，Agent 还要两件事：

连工具、连数据——查库、发邮件、调 API

连别的 Agent——分工、派活、组队

这里重点讲的两套标准：MCP 和 A2A。没有它们，Agent OS 里的智能体仍是 够不着世界的脑子。

一、为什么光有 Agent OS 还不够？

想象公司里有 10 个 Agent：A 只会调自家 CRM；B 只会写 Python；C 是另一家厂商的。各用各的接口、各写各的适配器——集成成本爆炸，还容易出现 幻觉（模型瞎编，因为没有结构化工具结果可核对）。

协议要解决的就是：统一插头 + 统一队友语言。

但实际开发中，我们走的是「声明式 CLI 能力契约」路线，不是 MCP/A2A 路线。这个路线本质上是标准化「Agent 怎么调业务能力」。

二、MCP：Agent 的「USB 接口」

MCP（Model Context Protocol，模型上下文协议） 由 Anthropic 在 2024 年推出。

干什么： 规定 Agent 怎么标准化地连接 外部工具、API、数据库、文件系统。

Agent ←──MCP──→ 日历 / 代码仓 / 业务 API / 知识库

好处：

工具方按 MCP 暴露能力，Agent 方少写定制胶水

返回更结构化，模型 少靠猜、多靠查(连接的都是经过内部核查的可信数据源) → 缓解幻觉

换模型、换 Agent 框架，工具层可复用

记一句： MCP = Agent 连世界的手脚。

三、A2A：Agent 的「同事协作协议」

A2A（Agent2Agent Protocol） 由 Google 在 2025 年推出开放标准。

干什么： 不同厂商、不同框架的 Agent，如何 发现彼此、派活、协作。

典型流程：

Agent 发布 「能力卡片」（Agent Card）——我会啥

客户端 Agent 把子任务 派给远程 Agent

长任务可异步通知、流式回报进度

Agent A（协调） ←──A2A──→ Agent B（专精检索）

Agent C（专精写报告）

记一句： A2A = Agent 连 Agent 的分工协议。

四、一张表分清 MCP 和 A2A

五、风险案例

间接提示词注入

攻击者不再直接攻击系统，而是把恶意指令像特洛伊木马一样隐藏在Agent需要读取的外部数据源（比如网页或者文章）里。当智能体正常执行读取操作时，就会不知不觉泄漏敏感信息甚至执行恶意操作。

级联幻觉

一个读取发票的智能体，因为图片有点模糊，把7月看成了1月。本身是个小错误。但是这个小错误马上通过A2A协议把这个1月到期的错误信息告诉了负责物流的智能体，物流智能体立刻开始预定半年前就该出发的货车并取消了所有七月的运力。整个供应链系统瞬间就乱套了。