Agent Skills 与 MCP 生态现状：主流方案、最佳实践与安全风险（综合报告）

题记与说明

课题：《Agent Skills 与 MCP 生态现状：主流方案、最佳实践与安全风险》
撰写日期：2026-10-28
方法说明：本报告由两份章节研究综合而成——纵轴章节《Agent Skills 与 MCP 生态发展历程》（2022–2026 时间维度的完整生命历程）与横轴章节《Agent Skills 与 MCP 生态横向对比》（2026-10-28 时间截面上的系统性横向比较）。两章均基于会话内实际执行的网络检索与一手页面抓取（Anthropic 官方公告与工程博客、MCP 官方规范与博客、agentskills.io、NSA 官方文件等）撰写，关键事实附来源链接。综合时已合并两章的重复叙述，并校正了口径出入：Snyk ToxicSkills 报告日期以横轴所引事件时间线（2026-02-05）为准，MCP SDK 下载量两章数字不一致（1.1 亿 vs 4 亿+）已在正文如实并注，"USB-C"类比的出处做了分别说明。无法核验原始页面的条目标注"（据检索摘要）"，仅单一二手来源的数据标注"（单一来源）"。详见文末"数据口径与未竟事项"。
修订说明（定稿）：本文件为按独立审读意见修订后的定稿，修订前原稿同目录留存。本次修订：① 2.1 明确 B 类路线仅作背景参照、不进主对比表，并在 2.5 补其取舍分析；② 1.9 首次出现处补 OpenClaw/ClawHub 界定；③ "脚本以用户权限运行、无沙箱"改标为报告推断，并补 agentskills.io 执行模型依据（规范与《Using scripts in skills》指南本次抓取核实，均未约定沙箱/权限隔离层）；④ ToxicSkills/ClawHavoc 全量数据收敛至 2.4.2 一处，1.9 与 2.3 改为引用，并新增数字口径层次说明（缺陷≠恶意、ClawHavoc 与 1,467 的关系、全量占比 vs 局部计数 vs 假设值）；⑤ 统一 A2A 定位口径（MCP 的纵向相邻层，非同层替代）；⑥ 1.4"增长平缓"补千级规模依据，1.6"万级"标注为按 2026-Q1 数据回推的推断；⑦ "Microsoft、GitHub、Cursor 采纳 Skills"的限定前置至正文使用处，OWASP LLM01 引述补"（单一来源）"标注；⑧ 据 Linux Foundation 官方新闻稿（本次抓取核实）修正 AAIF 表述：创始捐赠方为 Anthropic、OpenAI、Block 三家，Google、Microsoft、AWS 等为白金成员/表态支持者。

TL;DR

两大标准互补：MCP（2024-11）负责"连接"，动态连接工具与数据，2025 年获 OpenAI、Google、微软采纳，12 月捐入 Linux 基金会 AAIF；Agent Skills（2025-10）负责"专长"，以 SKILL.md 渐进式披露注入过程知识，获 70+ 平台采纳，2026-10 同捐 AAIF。竞争已从协议层转向分发与信任层：审核制商店、开放目录、注册表三分天下。安全是共同短板：工具投毒、postmark-mcp、ClawHub 恶意技能、ToxicSkills 36% 缺陷率频发，提示注入根因未解。建议：MCP 建连接、Skills 编流程；最小权限加人工确认；第三方组件先扫描审计再用。

一、纵轴：发展脉络（2022–2026）

1.1 时间线速览

1.2 阶段 0：前史——工具调用碎片化与提示注入的提出（2022–2024 年中）

MCP 与 Agent Skills 诞生前，行业经历了两次铺垫。

第一次铺垫是"模型如何用工具"的碎片化探索。 2022–2023 年，OpenAI function calling、LangChain 等工具编排框架、以及 2023 年 11 月发布的 GPTs 及其插件/Action 体系，让"给模型接上外部能力"成为标配。但每家模型厂商、每个 Agent 框架都定义了自己的工具描述格式与调用协议：一个 SaaS 厂商想让 Claude、GPT、Gemini 都能访问自己的 API，需要为每种宿主分别写集成，形成经典的 M×N 集成爆炸问题。Anthropic 在 MCP 公告中将其概括为：模型"被困在信息孤岛和遗留系统之后"，每个新数据源都需要单独定制集成（来源：Anthropic 官方公告，2024-11-25）。

第二次铺垫是安全社区对"模型信任外部文本"的警惕。 据模型既有知识（本次未逐一核验原始论文），2022 年 Simon Willison 等人提出并普及了"提示注入（prompt injection）"概念，2023 年 Kai Greshake 等人系统化了"间接提示注入（indirect prompt injection）"——即攻击者把指令藏在模型会读取的外部内容（网页、文档、邮件）中。到 2025 年，OWASP《LLM 应用 Top 10（2025 版）》将提示注入列为第一大风险 LLM01（来源：SSOJet 对 OWASP LLM Top 10 的引述，单一来源，未核对 OWASP 原文）。这条安全伏笔，决定了后来 MCP 与 Skills 生态的每一次扩张都会伴随一轮安全危机。

1.3 阶段 1：MCP 诞生——连接层标准出现（2024 年 11 月）

2024 年 11 月 25 日，Anthropic 发布并开源 Model Context Protocol（MCP），定位为连接 AI 助手与数据源、工具的开放标准，同时开源了规范与 SDK（GitHub 上的 modelcontextprotocol 组织）、Claude Desktop 的本地 MCP 支持，以及一批预构建 MCP 服务器开源仓库（Google Drive、Slack、GitHub、Git、Postgres、Puppeteer 等）。协议由 Anthropic 的 David Soria Parra 与 Justin Spahr-Summers 主导创建；首批合作伙伴中 Block、Apollo 已完成集成，Zed、Replit、Codeium、Sourcegraph 等开发工具公司同步跟进（来源：Anthropic 官方公告，2024-11-25）。首个规范版本编号为 2024-11-05，采用 JSON-RPC 2.0 作为消息层，定义了 tools / resources / prompts 三类原语（来源：modelcontextprotocol/specification 仓库）。

关于流传最广的"USB-C for AI"类比：MCP 官方文档介绍页确实以"AI 应用的 USB-C 接口"作类比（来源：MCP 官方介绍，横轴章节本次直接抓取核实），但 Anthropic 当日的新闻公告页面本身并未使用这一表述——该类比在社区传播中被进一步放大。

主要参与者：Anthropic（发起方）、Block/Apollo/Zed/Replit/Codeium/Sourcegraph（首批采用者）。驱动因素：Agent 时代"上下文即能力"的共识、M×N 集成成本的痛点，以及 Anthropic 借开放标准换取生态话语权的策略。

1.4 阶段 2：从单家方案到事实标准（2025 年 1 月 – 5 月）

MCP 发布后的最初三个月，生态处于早期积累——到 2025 年 2 月前后公开服务器约千级（据二手统计，见下条），增长尚属平缓；转折发生在 2025 年 3 月。

• 2025 年 2 月前后，生态内已有超过 1000 个公开 MCP 服务器（据二手统计：Digitalkin）。
• 2025-03-26/27，OpenAI 宣布采纳 Anthropic 的 MCP，计划覆盖 Agents SDK、ChatGPT 桌面端与 Responses API（据检索摘要，见 The Information 对 MCP 势头的报道 及多家媒体）。竞争对手的采纳使 MCP 从"Anthropic 的协议"升格为行业事实标准。
• 2025-03-26，MCP 规范发布首个大修订版 2025-03-26：以 Streamable HTTP 取代旧的 HTTP+SSE 双端点传输、引入基于 OAuth 2.1 的授权框架（MCP 服务器作为资源服务器、强制 PKCE）、新增会话管理与工具注解（来源：MCP 官方规范授权章节，及检索摘要）。
• 2025 年 4 月，Google（DeepMind/Sundar Pichai）确认 Gemini 将支持 MCP；2025 年 5 月 Build 大会上，微软宣布 Windows AI Foundry、Windows 11 原生 MCP 支持与 WSL 的 MCP 支持，把 MCP 定位为"开放智能体 Web"的粘合剂（据检索摘要汇总，见 SD Times 2025 年 11 月 AI 月报 等综合报道）。

驱动因素：一是接入侧的网络效应——服务器开发者越多，客户端越没有理由不兼容；二是巨头各自的 Agent 平台（OpenAI 的 Operator/Codex、微软的 Copilot 智能体体系）都需要一个现成的工具接入层，自建协议的协调成本高于直接采纳。同期 Google 也推出了定位于"Agent 之间互联"的 A2A 协议（2025 年 4 月，背景信息基于既有知识，本次未核验原文），与 MCP 形成"工具接入 vs Agent 互联"的互补分工。

1.5 阶段 3：第一波安全危机——"每个新接入口都是新攻击面"（2025 年 4 月 – 8 月）

就在大厂排队采纳的同时，MCP 的安全研究几乎同步爆发，形成贯穿课题始终的安全主线。

• 2025 年 4 月，Invariant Labs 披露 MCP 工具投毒攻击（Tool Poisoning Attack）：攻击者在 MCP 工具的 description 字段中嵌入对用户不可见、但模型可见的恶意指令，可跨 Cursor、Claude Desktop 等客户端操纵 Agent、窃取数据（来源：Invariant Labs 研究的转述与分析）。同期 arXiv 论文《MCP Safety Audit: LLMs with the Model Context Protocol Allow Major Security Exploits》（2025 年 4 月）显示主流 LLM 接上 MCP 工具后可被诱导执行删文件、SQL 注入、数据外传等危险操作（据检索摘要）。
• 2025 年 5 月底，Invariant Labs 发现 GitHub 官方 MCP 服务器的严重缺陷：攻击者在公开仓库的 issue 中植入提示注入内容，即可诱导拥有 GitHub MCP 权限的编码 Agent 泄露用户私有仓库数据——问题不在 GitHub 本身，而在"过度授权的 Agent + MCP"组合（来源：CyberPress 报道，2025-05-27、Cybersecurity News）。
• 2025 年 6 月，安全研究人员披露 Supabase 官方 MCP 服务器数据外泄漏洞：攻击者把恶意指令埋进数据库行（如支持工单），Agent 通过 MCP 读取后即被诱骗执行攻击者选定的查询并把结果发送到外部端点；Supabase 随后将 MCP 服务器改为默认只读（来源：The Generative Beings 漏洞综述）。
• 学术系统化：arXiv:2506.02040《Unveiling Attack Vectors in the Model Context Protocol Ecosystem》首次系统梳理 MCP 攻击面四类（含工具投毒、包幻觉/slopsquatting 等），2025 年 7 月获媒体广泛报道（来源：论文页，据检索摘要）。

驱动因素：MCP 的设计哲学是"把信任问题留给宿主与用户"，规范本身只管通信语义；而工具描述天然是"面向模型的隐藏文本"，恰好是间接提示注入的完美载体。这波危机确立了一个延续至今的共识：MCP 生态的安全责任主要落在客户端宿主、服务器供应方与部署者身上，而非协议本身。

1.6 阶段 4：基础设施成型——注册表、供应链第一案与规范迭代（2025 年 6 月 – 9 月）

• 2025-06-18，MCP 规范发布 2025-06-18 版：新增 elicitation（服务器向用户征询信息）、结构化工具输出，收紧授权（引入 RFC 8707 资源指示、明确禁止令牌透传 user-supplied bearer tokens），并移除 JSON-RPC 批处理（来源：MCP 官方规范 及检索摘要）。
• 2025-09-08，MCP 项目官方博客宣布 MCP Registry 预览上线（registry.modelcontextprotocol.io）：一个开放的服务器元数据目录与 API，旨在终结第三方目录（mcp.so、Smithery、Glama、PulseMCP 等）林立造成的发现层碎片化；2025-10-24 冻结 v0.1 API（来源：MCP 官方博客，2025-09-08）。2025-09-18，GitHub 与 Anthropic 及 MCP 指导委员会合作推出 GitHub MCP Registry（来源：devops.com）。
• 2025-09-25，安全史上首例在野恶意 MCP 服务器被 Koi Security 曝光：npm 包 postmark-mcp 冒充 Postmark 官方，前 15 个版本表现正常，1.0.16 版静默加入后门——为所有经 sendEmail 工具发出的邮件添加隐藏 BCC，把用户邮件内容（含凭据）抄送到攻击者域名（来源：Snyk 分析、The Hacker News）。这标志着 MCP 供应链攻击从学术推演进入现实。
• 同期，行业侧安全工程开始体系化：官方文档增加 MCP 安全最佳实践教程，Protect AI 等发布《MCP Security 101》，Descope（2025-10-24）总结六大 MCP 漏洞模式（据检索摘要，见 MCP 官方安全最佳实践、MCP-Security-101 仓库）。

驱动因素：服务器数量在千级（2025-02 二手口径）基础上持续膨胀——"17,000+"的万级数字系 2026-Q1 数据（单一来源），按其回推 2025 年中已向万级迈进，属本报告推断——"发现"与"信任"成为瓶颈：注册表解决前者，而后者（安装审批、代码审计、运行时监控）在 postmark-mcp 事件后被证明仍无有效机制。

1.7 阶段 5：Agent Skills 诞生——从"接入工具"到"注入专长"（2025 年 10 月）

2025 年 10 月成为课题另一条主线（Skills）的起点，也是 Anthropic 完整 Agent 产品矩阵成型的月份。

• 2025-10-16，Anthropic 发布 Agent Skills：一个技能 = 一个包含 SKILL.md 的文件夹，SKILL.md 以 YAML frontmatter 开头（必填 name 与 description），后接 Markdown 正文；采用三级渐进式披露——启动时仅把元数据载入系统提示词，判定相关后才读入正文，关联文件（参考文档、脚本）再按需读取；技能还可捆绑可执行脚本，由 Claude 作为工具运行而无需载入上下文（官方指南明确脚本由 agent 经 shell 命令执行，而规范与指南均未定义任何沙箱或权限隔离层——来源：agentskills.io：Using scripts in skills，本次抓取核实；本报告据此推断脚本以宿主/用户权限运行，见 2.4.2 口径注），因此单个技能可承载的上下文"近乎无限"。同时开源示例仓库 anthropics/skills（含 PDF 等文档技能），Claude 应用、Claude Code 与 API 同步可用（来源：Anthropic 工程博客，2025-10-16）。规范细节上，必填字段仅 name（1–64 字符）与 description（描述字段有 1024 字符上限，据 规范优化指南 的检索摘要），其余字段（如 compatibility、metadata）可选。
• 同月（10 月上中旬），Claude Code 推出插件（plugins）系统：把斜杠命令、子 Agent、MCP 服务器、hooks 与技能打包为一个可安装分发单元，并配官方插件市场（anthropics/claude-plugins-official 等）；企业侧随后出现 Claude Marketplace 采购通道（据检索摘要，见 Skywork 综述、第三方对 Claude Marketplace 的报道、插件打包指南）。
• Skills 与 MCP 的分工被社区迅速总结为一句标准概括："MCP 提供能力（capability）——连接工具与数据；Skills 定义过程（process）——流程、规范与领域知识"（来源：Till Freitag 的行业分析、Victor Dibia 的架构分析、Milvus 博客、Agensi）。

驱动因素：随着模型能力增强，通用 Agent（如 Claude Code）已能操作完整计算环境，瓶颈从"能不能调工具"变为"如何把专家的程序性知识可组合、可移植地注入 Agent"；工程博客将其类比为新员工的入职文档。此外，渐进式披露直接回应了此前工具定义挤占上下文窗口的痛点。

1.8 阶段 6：收敛与基金会化——两大标准同时"去厂商化"（2025 年 11 月 – 12 月）

• 2025-11-25，MCP 规范发布 2025-11-25 版（协议发布一周年）：引入 Tasks（长时/异步操作）、扩展（extensions）机制，强调无状态协议核心与可扩展性，并加入任务化工作流与企业级特性、简化授权（来源：Pomerium 2025 年 9 月 MCP 月报（预告 RC）、Techzine 报道、LinkedIn 上的规范解读，据检索摘要）。
• 2025-12-09，Agentic AI Foundation（AAIF） 在 Linux Foundation 下成立：Anthropic 捐赠 MCP，OpenAI 捐赠 AGENTS.md，Block 捐赠 Goose；据 Linux Foundation 官方新闻稿（本次抓取核实），创始捐赠方即 Anthropic、Block、OpenAI 三家（原文为 "founding contributions from Anthropic, Block, and OpenAI"），Google、Microsoft、AWS、Bloomberg、Cloudflare 等以白金成员身份参与并公开表态支持——三大 Agent 基础标准同时进入中立治理（来源：Linux Foundation 新闻稿，2025-12-09、TechCrunch，2025-12-09、GitHub 官方博客、diginomica、Redmond Magazine、WorkOS 博客）。
• Skills 标准化与跨厂商采纳：Anthropic 于 2025 年 12 月把 Agent Skills 发布为开放标准并上线规范站 agentskills.io（工程博客 12 月 18 日更新佐证，见同一工程博客的更新注记）。2025 年 12 月，OpenAI Codex 正式支持 Skills（含内置 skill-creator），采用与 Anthropic 相同的文件夹格式（来源：Reddit r/codex 讨论、Hacker News "Skills are quietly becoming the unit of agent knowledge"）；Cursor 等工具跟进，Spring AI 亦于 2026 年 1 月加入支持（据检索摘要，见 AgentAiloor 2026 标准综述）。
• 社区市场爆发：Vercel 推出 skills CLI（npx skills）与目录站 skills.sh，一条命令即可为 Claude Code、Cursor、Codex CLI、Gemini CLI 等安装技能，被称为"agent skills 的 npm"（来源：vercel-labs/skills 仓库、Vercel changelog）；第三方目录 agentskill.sh 宣称已索引 10 万+ 技能（据检索摘要，Reddit 报道）。生态规模方面：GitHub 官方博客披露彼时已有 110 万+ 公开仓库引入 LLM SDK（同比增长 178%）（来源：GitHub 博客，2025-12-09）；MCP SDK 月下载量缺乏统一权威口径，两章分别记录为"发布约 16 个月后约 1.1 亿次/月"（据 Digital Applied 引述的 Dev Summit 数据，二手转述）与"2026 年 7 月 4 亿次+/月（同比 4 倍）"（来源：GrowthMethod 汇总，单一来源）——两处均为二手口径，"月下载亿级"的量级可信，具体数字请勿直接引用。

驱动因素：两大标准同时被"孵化者捐赠给基金会"，本质是竞争格局变化的产物——当协议价值取决于中立性而非控制权时，捐赠是扩大采用的最优策略；而 Skills 格式的跨厂商收敛，则因为 SKILL.md 足够简单（一个文件夹 + 一个 Markdown 文件），迁移成本几乎为零。

1.9 阶段 7：从协议到平台、从社区自治到国家级指南（2026 年）

2026 年的两条主线分别是工程化深水区（无状态化、企业级治理）与安全治理的制度化。

• 安全事件继续：2026-01-20，Cyata 披露 Anthropic 官方参考 Git MCP 服务器中三个可经提示注入触发的缺陷；OX Security 亦报告 Anthropic MCP 服务器中的严重问题，媒体将其与微软同类缺陷并列为"MCP 服务器缺陷敲响 AI 安全警钟"（来源：Agentic Cyber Explorer 时间线、Security Boulevard，2026-01-23，据检索摘要）；Anthropic 上线公开的协同漏洞披露看板 red.anthropic.com。微软则在 2026 年 2 月公开了内部 MCP 安全治理实践（来源：Microsoft Inside Track）。
• 政府级指南：2026-05-20，美国 NSA 发布《Model Context Protocol (MCP): Security Design Considerations》网络安全信息 sheet——首份针对 MCP 的美国政府网络安全指引，点名序列化风险、信任边界与 Agent 滥用等设计问题（来源：NSA 新闻稿、CSI 全文 PDF；Reed Smith 律所解读）。
• 规范史上最大修订：2026-07-28，MCP 发布 2026-07-28 版：协议核心走向无状态（为水平扩展与 HTTP 化部署铺路）、支持多往返请求、认证体系按 header 机制重写（来源：MCP 官方 changelog、MCP 官方博客公告、Google Developers Blog、WorkOS 解读；当前官方文档版本戳 2026-07-28 已在横轴章节抓取核实：Build servers）。Cloudflare 以"MCP v2"同步更新四大语言 SDK，AWS AgentCore Gateway 同日宣布支持（据检索摘要，见 Cloudflare 博客）。
• Skills 安全成为独立研究领域：2026-02-05 口径下，Snyk 发布 ToxicSkills 研究，对公开 agent skills 供应链做首次大规模安全审计，揭示大范围安全缺陷与恶意载荷；其中最大战役是针对 OpenClaw 社区市场 ClawHub 的 ClawHavoc 攻击行动。OpenClaw 是一个开源、自托管的个人 AI 助手（前身 Clawdbot/Moltbot），部署在用户自己的设备上、以 Telegram/WhatsApp 等消息渠道为主要交互界面，2026 年初在极客与开发者社区迅速走红；ClawHub 是其官方社区技能目录/市场，任何人可自由发布与安装技能，相当于该生态的"应用商店"——技能可在用户机器上执行任意代码，"开放上传 + 自动执行"的组合使其成为本轮投毒的主战场（OpenClaw/ClawHub 界定来源：GetOpenClaw 指南，本次抓取核实；事件分析见 Socket.dev、SlowMist 分析）。ToxicSkills 的扫描规模、缺陷率、恶意载荷计数、ClawHavoc 投放规模及各数字的口径层次，统一收录在 2.4.2 节，此处不再重复。到 2026 年 10 月，OWASP 系（DAXA 项目组）发布 Agentic Skills Top 10，指出技能最危险的组合条件是"可触达私有数据 + 暴露于不可信内容 + 可外发数据"三者同时成立；学术侧出现针对终端 Agent 的技能注入攻击（skill injection）系统研究（以上均据检索摘要，原始页面未逐一核验）。这与 Skills 生态的规模效应直接相关——第三方技能市场使 SKILL.md 成为 Agent 供应链的新载体。
• 治理闭环：2026-10-22，Anthropic 宣布将 Agent Skills 开放标准（名称、logo 与 GitHub 组织）捐赠给 AAIF——即 MCP 所属的 Linux Foundation 下的同一基金会，官方口径为该标准已被 70+ 平台采用（来源：The AI Signal，2026-10、Techmeme 转述，另见 Reuters 转述报道，据检索摘要）。至此，MCP 与 Agent Skills 两大标准完成了"厂商孵化 → 行业事实标准 → 中立基金会治理"的完整生命周期。

驱动因素：企业生产化部署倒逼协议走向无状态与可治理（注册表、CVD、NSA 指南都是"信任基础设施"的补课）；而 Skills 的爆发式增长让安全社区把 2024–2025 年对付 MCP 的方法论（扫描、审计、最小权限）原样迁移到技能供应链上。

1.10 纵轴小结：三条贯穿始终的因果线

1. 集成成本 → 标准化 → 去厂商化：MCP 解决 M×N 集成问题而崛起；当它的价值取决于中立性时，被捐赠给 Linux Foundation；Skills 在一年后复制了同一条路径。标准的最高形态是"没有人拥有它"。
2. 能力注入方式的演进：从 function calling（写死在代码里）→ MCP（动态连接工具与数据）→ Agent Skills（动态注入流程与专长），每一步都把"Agent 知道什么"从模型权重与硬编码中解放出来，变成可分发的文件制品。
3. 每次生态扩张都对应一次安全债务：工具描述面向模型的"隐藏文本"催生了工具投毒（2025-04）；分发与安装机制缺位催生了 postmark-mcp 供应链事件（2025-09）；技能市场的规模效应催生了 ClawHavoc/ToxicSkills 时代（2026）。安全响应也从个体研究（Invariant Labs）演进为制度响应（官方最佳实践、NSA 指南、OWASP Agentic Skills Top 10、协同漏洞披露机制）——但"提示注入无法被协议层根治"这一根本约束，至今未变。

二、横轴：横向对比（2026-10-28 截面）

2.1 研究对象与"对比对象集"的界定

课题的核心对象是两个相互缠绕的标准：

1. MCP（Model Context Protocol）：连接 AI 应用与外部系统（数据、工具、工作流）的开放协议，官方文档类比是"AI 应用的 USB-C 接口"。2024 年 11 月由 Anthropic 发布，2025 年 12 月 9 日连同名称、Logo、GitHub 组织一并捐给 Linux Foundation 旗下 AAIF（来源：MCP 官方介绍、Redmond Magazine、WorkOS 博客）。
2. Agent Skills：开放格式的能力包——一个含 SKILL.md（必需元数据 name/description + 操作指令）的文件夹，可附带脚本、参考资料、模板。规范最初由 Anthropic 开发并以开放标准发布，2026-10-22 同样捐入 AAIF，检索显示已有 70+ 平台集成（来源：agentskills.io 官方首页，本次直接抓取核实、Techmeme 转述）。

二者是互补而非竞争关系（分工概括见 1.7 节）。据此，横轴的"对比对象集"分四类：

对象集口径声明：B 类中仅"原生 Function Calling"作为最基础的对照基线进入 2.2 主对比表；Agent 框架内置工具体系（LangChain、AutoGen 等）与纯提示词+RAG 的"软编码"路线只作背景参照、不进主对比表——它们不是与 MCP/Skills 并列的独立标准，而是宿主内的工程实践，逐一进表会混淆"标准"与"实现"的层次；其取舍分析统一放在 2.5 末条。A 类中 A2A 为 MCP 的纵向相邻层（互补分工），OpenAI Apps SDK 为 MCP 之上的应用/分发层，二者均非 MCP 的同层替代——特此声明，以消除"对比对象集"宣告与主表交付之间的落差。

2.2 主对比表：能力、成本、生态、成熟度、适用场景

※ 17,000+ 服务器出自 GrowthMethod 汇总单一来源，未能在官方渠道复核；A2A 150+ 组织出自 Linux Foundation 新闻稿。MCP 当前规范版本为 2026-07-28（官方文档 URL 版本戳，抓取核实：Build servers）。MCP 客户端支持列表（Claude、ChatGPT、VS Code、Cursor、MCPJam 等）见官方支持列表，抓取核实。

2.3 分发与市场模式对比表

模式判读：市场模式已明显分化为三档——审核制封闭商店（ChatGPT App Store：体验可控、分发慢）、Git/CLI 开放目录（Claude Code 插件市场、skills.sh：分发快、信任靠人）、中心化注册表（MCP Registry：元数据可发现、但 preview 阶段尚不承担安全审查职能）。ClawHub 事件证明第二档在"无审核 + 自动执行"组合下的脆弱性。

2.4 安全风险横向对比

2.4.1 MCP 的攻击面

• 工具投毒（Tool Poisoning）：恶意指令藏在工具描述中——模型可见、用户不可见，诱导 agent 外传 ~/.ssh/id_rsa 等敏感数据。该攻击类别由 Invariant Labs 系统化提出，现为社区参考基准（vulnerablemcp.info）。
• 已批准工具完成攻击：Armo 在 45 个真实 MCP 服务器上做 1,312 次测试，显示用户已批准的工具链本身即可完成注入攻击——批准动作不等于安全（Armo）。
• 新注入向量：Palo Alto Unit42 于 2025-12 披露通过 MCP sampling 机制的提示注入变体（Unit42）。
• 学术侧：工具投毒、shadowing、rug pull 已进入系统性防御研究（arXiv 2512.06556（检索摘要））；MCP 官方亦发布安全最佳实践页（抓取核实存在于 modelcontextprotocol.io 安全章节）。

2.4.2 Agent Skills 的攻击面：SKILL.md 即新型供应链

• 规模数据（Snyk ToxicSkills，2026-02-05；本报告该事件的全量数据统一收录于此，1.9 与 2.3 节为引用）：扫描 3,984 个公开 agent skills，约 36% 含安全问题（另有口径 36.8%，差异应为统计取整），534 个（13.4%）含至少一个 CRITICAL 级问题，仅在 ClawHub 就识别 1,467 个恶意载荷；91% 的恶意 skills 将传统恶意软件与提示注入组合——在 SKILL.md 里藏自动执行的隐藏指令（来源：unite.ai 报道、事件时间线整理、@snyksec）。
• ClawHavoc 战役：Socket/SlowMist 口径下约 1,184 个恶意 skills 被投放至 ClawHub，单个作者最多发布 677 个；恶意技能通过指令文件诱导 agent 安装恶意软件，在 macOS 上投放信息窃取木马（Socket.dev、SlowMist）。
• 数字口径层次说明（四层，彼此不可换算）：① 3,984 与 36%/36.8%、13.4% 是 Snyk 全量扫描中的缺陷率口径——"缺陷"包含配置不当、过时依赖等非恶意问题，缺陷 ≠ 恶意；② 1,467 是 Snyk 口径下"恶意"子集在 ClawHub 一个平台上的计数，属局部平台计数，不是全量占比，不能拿它去除 3,984 得出"恶意率"；③ 1,184（ClawHavoc 投放量）出自 Socket/SlowMist 对该战役的独立统计，与 ①② 研究方、时点均不同，据现有来源无法确认它与 1,467 的包含或重叠关系，两者不可相加、不可互推；④ 社区"约 15% skills 含恶意指令"是未获多源印证的社区估计，下文检测段的"1.9%"则是该检测论证中的假设前提而非实测比例——并列阅读时请勿视作互相矛盾的实测值。
• "比普通提示注入更危险"的机制：恶意 skills 具备持久性、复发性与可信执行上下文——注入内容随技能文件落盘，而非一次性的对话注入（nhimg.org FAQ）；Cloud Security Alliance 研究札记将其定性为"agent 上下文投毒"新攻击面（CSA 札记 PDF，2026-05）。
• 实证研究：Max Planck 的 Skill-Inject 研究测得前沿 LLM agent 对技能文件攻击高度脆弱（AlphaXiv 摘要页）；另有被多次引用的研究显示技能文件可仅凭指令文件绕过 Claude Code 护栏（arXiv 2602.06547（检索摘要，未原文复核））；Reversec Labs 演示了用恶意 skills 侵入 Claude Code 的完整链路（Reversec，2026-05）。
• 执行模型与权限（推断标注）：agentskills.io 规范与《Using scripts in skills》指南（均本次抓取核实）只约定脚本由 agent 经 shell 命令执行，未定义任何沙箱、权限边界或隔离层；Anthropic 工程博客同样只称脚本"由 Claude 按需作为工具执行"。本报告据此推断：Skills 捆绑脚本以宿主/用户权限运行、无规范层沙箱保障，"执行即信任"——此为报告推断而非规范原文，隔离能力实际取决于各客户端宿主自身的沙箱机制。
• 检测困境：社区讨论指出，即便公共 skills 中仅约 1.9% 恶意（假设值，见上方口径说明 ④），一个 98% 准确率的扫描器也会产生约 13:1 的误报真报比——纯技术检测难以单点解决（来源为 Facebook 社区群组转述，未获独立印证，仅作方向参考）。

2.4.3 三种市场模式的抗风险能力排序（综合两章的判断）

审核制商店（ChatGPT App Store）> 中心化注册表（MCP Registry，preview）> 开放目录/社区市场（ClawHub、部分 Git 制 marketplace）。逻辑：注入攻击的放大器是"自动加载 + 无人审阅"，审核制以效率换安全，开放目录反之。但审核制不解决底层 MCP 攻击面（Armo 实验已证明"已批准 ≠ 安全"），三条路线最终都指向运行时防护（最小权限、敏感动作 human-in-the-loop、来源与完整性追踪）而非仅靠入口审查。

2.5 逐维度判读要点

• 能力与定位：MCP 解决 M×N 连接问题（O(M×N) 专有集成降为 O(M+N)）；Skills 解决过程知识复用；A2A 在更上层解决 Agent 间通信，与 MCP 形成纵向栈——A2A 管 Agent 与 Agent，MCP 管 Agent 与工具（与 2.1"纵向相邻层"口径一致）。三者 2025 年末已全部归入 Linux Foundation/AAIF 治理，事实上的"Agentic AI 三层协议栈"成型。
• 成本：Skills 极低（纯文件、无运行时依赖，但"执行即信任"——脚本权限/沙箱为报告推断，见 2.2 与 2.4.2 注）；MCP 中等（需部署 server，一次投入多客户端复用）；A2A 中等（企业场景收益最大）；Apps SDK/App Store 最高（开发 + 审核 + 平台规则跟随）；Function Calling 最低但不可复用、跨模型不可移植。
• 生态：MCP 生态规模最大（规模数字口径见主表注）；Skills 集成面广（70+ 平台口径；Microsoft、GitHub、Cursor 采纳名单据检索摘要、未获规范站原文核验），Anthropic 官方 skills 仓库 + Vercel skills.sh + 各类社区目录构成分发网络；A2A 有 150+ 组织但偏企业侧；OpenAI 路线生态封闭但触达 ChatGPT 海量 C 端用户。
• 治理：MCP 协议层最成熟、已入基金会；Skills 格式稳定但安全治理明显滞后于分发速度——ClawHub 事件是治理缺位的代价；A2A 一周年即有云平台落地与企业生产使用；ChatGPT App Store 产品成熟、治理黑箱（审核时长成为开发者最大抱怨）。
• 适用场景速查：连接外部系统 → MCP；沉淀流程/领域知识 → Skills；多 Agent 跨厂商协作 → A2A；C 端分发交互应用 → ChatGPT App Store / Apps SDK；少量简单工具调用且锁定单一模型 → 原生 Function Calling。实践中的最佳组合：MCP 建连接、Skills 编流程——共享位置定义一次 MCP 连接器，skills 按需消费（Anthropic 实践转述、IBM developer 文章）。
• 背景参照：B 类路线的取舍（对应 2.1 口径声明）：Agent 框架内置工具体系（LangChain、AutoGen 等）适合已深度使用该框架、同时需要编排/记忆/多 Agent 调度等配套能力的团队，代价是工具格式随框架走、不跨厂商、与 MCP/Skills 的开放标准并行维护时重复投入；纯提示词+RAG 的"软编码"路线零协议成本、上手最快，但过程知识散落在系统提示词与检索语料中，不可移植、不可版本化、难以审计——MCP 与 Skills 正是把这两类实践"标准化"的产物：前者给连接以跨模型可移植性，后者给流程以可分发、可审计的文件形态。当工具调用少且锁定单一模型时，原生 Function Calling（已入主表作基线）仍是最低成本选项。

2.6 横轴小结：2026 年 10 月截面的竞合格局

1. 协议层战争基本结束：MCP 成为工具连接的事实标准（OpenAI、Google、Microsoft 均接入或捐入同一基金会），竞争焦点从"谁的协议赢"转向"谁的分发与信任层赢"。
2. Skills 是 2026 年的增量战场：格式本身无悬念（已被广泛采纳），悬念全在供应链安全与市场治理——Snyk ToxicSkills 的 36% 缺陷率与 ClawHub 的千级恶意样本（口径层次见 2.4.2），是本截面最重要的警示数据。
3. 分发模式三分天下：审核制商店、开放目录、中心化注册表各占一极；安全事件正推动开放目录向"注册表 + 扫描 + 签名"演进。
4. 安全是共同短板：无论哪条路线，提示注入/上下文投毒的根因（模型无法可靠区分指令与数据）均未解决，当前最佳实践只能"纵深防御"，无法根治。

三、交叉洞察

3.1 两轴结合说明了什么

1. 标准化生命周期在加速复制，协议层战争已经结束。 纵轴显示，MCP 从发布（2024-11-25）到捐入 Linux Foundation（2025-12-09）约走了 12 个半月；Skills 从发布（2025-10-16）到捐入同一基金会（2026-10-22）约走了 12 个月——后者几乎原样复刻了前者的"厂商孵化 → 事实标准 → 去厂商化"路径，且节奏更快。横轴则在截面上确认了终局状态：MCP、Agent Skills、A2A 三大标准全部归拢于 Linux Foundation/AAIF，"Agentic AI 三层协议栈"（Agent 互联 / 工具连接 / 知识注入）成型。两轴相加的结论是：2026 年 Agent 基础设施的问题已经从"用什么协议"变成"谁掌握分发与信任层"——协议的答案是"所有人共有的"，分发与信任的答案尚未收敛。

2. 安全债务与分发机制同步升级，这不是巧合而是结构。 把纵轴的事件史与横轴的市场分档叠在一起看，规律非常整齐：每一次分发能力的升级，都精确对应一次供应链安全事件——工具描述成为"面向模型的隐藏文本"（分发能力 v0），催生工具投毒（2025-04）；npm 式安装分发（v1），催生 postmark-mcp 供应链后门（2025-09）；一键技能市场（v2），催生 ClawHavoc 千级恶意样本与 ToxicSkills 36% 缺陷率（2026，口径层次见 2.4.2）。横轴的三档市场抗风险排序（审核制 > 注册表 > 开放目录）从另一个方向印证同一规律：注入攻击的放大器正是"自动加载 + 无人审阅"。两轴结合还给出了可操作的风险判据——OWASP 提出的三条件（可触达私有数据 + 暴露于不可信内容 + 可外发数据同时成立即为高危），恰好是纵轴所有标志性案例（GitHub 私库泄露、Supabase 数据外泄、postmark-mcp 邮件抄送、ClawHub 信息窃取）的公约数。治理也在沿同一逻辑制度化：从个体研究（Invariant Labs）到官方最佳实践，再到注册表、NSA 政府指南、OWASP Top 10 与协同漏洞披露——但横轴的 Armo 实验（1,312 次测试证明"已批准 ≠ 安全"）提醒：只要提示注入的根因（模型无法可靠区分指令与数据）不解决，任何入口审查都只是纵深防御的一层。

3. "连接"与"专长"的分层是真实的技术演进，而非营销叙事。 纵轴的能力注入演进线（function calling 写死在代码里 → MCP 动态连接工具与数据 → Skills 动态注入流程与专长）与横轴的作用层次表（连接层 / 知识层 / Agent 间消息层 / 分发层）互相印证：每一代标准都把"Agent 知道什么、能做什么"从模型权重与硬编码中解放出来，变成可分发、可审计的文件制品。MCP 解决 M×N 集成（O(M×N)→O(M+N)），Skills 解决过程知识复用（渐进式披露控制上下文占用），A2A 解决跨厂商协作——三者分层互补，"MCP 提供 capability、Skills 定义 process"的社区共识在两章的多路来源中均获印证。

4. 生态规模数据互相印证但口径薄弱，制度性信号比单一数字可靠。 纵轴的"1000+ 公开服务器（2025-02）"与横轴的"17,000+（2026-Q1）"构成一条方向一致的增长曲线；但 SDK 月下载量两章记录相差近 4 倍（1.1 亿 vs 4 亿+，均单一二手来源），"70+ 平台集成 Skills"也是厂商口径。两轴结合的方法论启示：判断生态成熟度时，巨头采纳（OpenAI/Google/微软接入）、中立治理（AAIF）、政府指南（NSA）这类制度性信号有多源印证、可靠性高，而规模数字大多不可直接引用。这与两章共同的方法论声明一致。

3.2 对用户的判断与建议

技术选型

1. 协议层无需再选边，把决策预算花在组合方式上。 MCP 已是工具连接的事实标准（Claude、ChatGPT、VS Code、Cursor 等主流客户端均支持，OpenAI/Google/微软全部接入），Skills 格式已被 70+ 平台采纳。当前理性的默认路径是官方实践总结的组合：MCP 建连接、Skills 编流程——在共享位置定义一次 MCP 连接器，skills 按需消费；团队流程、代码评审规范、领域知识沉淀为 Skills，而非散落在系统提示词里。
2. 按场景对号入座：要连接外部系统（数据库、SaaS、文件）→ MCP；要沉淀流程/领域知识 → Agent Skills；要多 Agent 跨厂商协作 → A2A；要面向 C 端分发交互应用 → ChatGPT App Store / Apps SDK（接受审核周期 6 周+ 与平台锁定）；只需少量简单工具调用且锁定单一模型 → 原生 function calling 足矣。

安全实践（纵深防御清单）

1. 牢记"已批准 ≠ 安全"（Armo 在 45 个真实服务器上的 1,312 次测试）：审批制只解决入口，不解决运行时。最小权限、敏感操作 human-in-the-loop、来源与完整性追踪、运行时监控四件事缺一不可——这也与 NSA 指南点名的信任边界、Agent 滥用问题一致。
2. 用 OWASP"三条件"做入库评审：任何技能或 MCP 服务器若同时满足"可触达私有数据 + 暴露于不可信内容 + 可外发数据"，即为高危，应拆分职责或加固隔离。Skills 的结构性风险高于一次性提示注入：注入内容随文件落盘，具备持久性与可信执行上下文（CSA 定性为"上下文投毒"）。
3. 分发渠道分级使用：企业内部走 Git 制私有市场 + 代码审计；第三方技能入货前必经扫描；对开放目录（ClawHub 式"无审核 + 自动执行"组合）保持戒备——ClawHavoc 已证明其脆弱性（数据见 2.4.2）；Skills 中捆绑的脚本由 agent 经宿主 shell、以宿主/用户权限运行，规范未定义沙箱或隔离层（报告推断，依据见 1.7 与 2.4.2 执行模型注），执行即信任，只装可审计来源的技能。社区争议（claude-code issue #40036）提示：提示词类 skills 与可执行插件不应共用同一条安装信任路径，企业实践应主动区分。
4. 直接引用四份治理依据：MCP 官方安全最佳实践、NSA《MCP: Security Design Considerations》、OWASP Agentic Skills Top 10、Anthropic 协同漏洞披露看板（red.anthropic.com）——这是目前从协议、国家、行业、厂商四个层面最可引用的制度化成果。

风险与观望

1. Skills 治理滞后于分发，第三方市场大规模采购建议等待签名机制成熟。 横轴判断"开放目录正向注册表 + 扫描 + 签名演进"，纵轴的事件序列支持这一方向：postmark-mcp 之后才出现注册表，ClawHavoc 之后才出现系统性扫描研究。在签名与扫描成为市场标配前，对第三方技能市场保持观望、以官方仓库（anthropics/skills 等）与内部审计为主。
2. 对规模数字保持口径自觉：17,000+ 服务器、4 亿月下载、70+ 平台、10 万+ 索引技能等数字均属单一来源或厂商口径，两章数据亦有出入；但"协议层战争结束、竞争转向分发与信任层"这一结构性判断有多源印证，可放心作为决策前提。

参考来源

官方一手来源（部分页面在研究会话中直接抓取核实）

• Anthropic：Introducing the Model Context Protocol（2024-11-25）
• Anthropic 工程博客：Equipping agents for the real world with Agent Skills（2025-10-16）
• MCP 官方介绍与支持客户端列表
• MCP 官方规范 2026-07-28 changelog 及 MCP 官方博客：The 2026-07-28 Specification
• MCP 官方博客：Introducing the MCP Registry（2025-09-08） 与 registry.modelcontextprotocol.io
• MCP 官方安全最佳实践（2026-07-28 文档版）
• Agent Skills 开放标准规范站 与 官方首页、描述字段优化指南、Using scripts in skills（脚本执行模型，本次抓取核实）
• NSA 新闻稿与《MCP: Security Design Considerations》CSI（2026-05-20）、CSI PDF
• Microsoft Inside Track：微软内部 MCP 安全治理（2026-02-12）
• Anthropic 协同漏洞披露看板
• Linux Foundation 新闻稿：A2A 一周年、150+ 组织

基金会化与行业里程碑

• Linux Foundation 新闻稿：AAIF 成立（2025-12-09，创始捐赠方名单，本次抓取核实）
• TechCrunch：OpenAI、Anthropic、Block 加入 Linux Foundation（2025-12-09）
• GitHub 博客：MCP joins the Linux Foundation（2025-12-09）
• diginomica：三大 Agent 项目捐入 Linux Foundation
• Redmond Magazine：AAIF 成立、WorkOS 博客
• The AI Signal：Agent Skills 捐赠 AAIF（2026-10-22）、Techmeme 转述
• The Information：MCP 势头与 OpenAI 采纳
• SD Times：2025 年 11 月 AI 月报（微软/Gemini 采纳汇总）
• Techzine：MCP 周年大版本更新
• Pomerium：2025 年 9 月 MCP 月报（预告 2025-11-25 规范）
• Google Developers Blog：MCP 无状态更新、WorkOS：MCP 2026 认证解读、Cloudflare：MCP v2
• devops.com：GitHub MCP Registry 上线
• OpenAI 社区：ChatGPT App Store 开放提交（2025-12-17）、审核排队讨论
• agnost.ai：Apps SDK 技术拆解、testingcatalog：Apps SDK 预览
• Red Hat Developers：AGENTS.md 与 Agent Skills 实践（2026-07-27）

Skills vs MCP 组合与生态

• Milvus：为什么 Anthropic 发布 Skills 及与 MCP 的配对、Agensi：Agent Skills vs MCP、Craig Walls 对比文
• Till Freitag：Agent Skills 行业分析、Victor Dibia 架构分析
• Anthropic 实践转述：Structuring agents, skills and MCPs、IBM developer：Agent skills 与 MCP servers
• anthropics/skills 官方示例仓库、vercel-labs/skills CLI、Vercel changelog：skills v1.1.1
• Reddit：Codex 正式支持 Skills、Hacker News：Skills are quietly becoming the unit of agent knowledge、agentskill.sh 10 万+ 技能（Reddit）、AgentAiloor：2026 Agent 标准综述
• jsmanifest：Claude Code 插件打包指南、claude-code issue #40036：skills 与 plugins 安装路径争议
• Skywork：Claude Code 插件与 Sonnet 4.5（2025-10-14）、The AI Report：Claude Marketplace
• GrowthMethod：MCP adoption 汇总（单一来源）、CrashBytes：MCP 企业采用预测、Digitalkin：MCP 服务器规模、Digital Applied：Dev Summit 数据转述

安全研究与事件

• Invariant Labs 工具投毒研究的转述与分析、vulnerablemcp.info：Tool Poisoning Attacks 基准
• arXiv:2506.02040：Unveiling Attack Vectors in the MCP Ecosystem、arXiv 2512.06556：系统性防御研究（检索摘要）、arXiv 2602.06547：技能文件绕过护栏（检索摘要，未原文复核）、AlphaXiv：Skill-Inject 实证研究
• CyberPress：GitHub MCP 服务器私库泄露缺陷（2025-05-27）、Cybersecurity News
• The Generative Beings：Supabase MCP 漏洞综述（2025-06）
• Snyk：postmark-mcp 恶意 MCP 服务器分析（2025-09-25）、The Hacker News：首例在野恶意 MCP 服务器
• MCP-Security-101 仓库、Security Boulevard：Anthropic/微软 MCP 服务器缺陷（2026-01-23）、Agentic Cyber Explorer：工具与 MCP 安全时间线
• Armo：MCP 提示注入与已批准工具实验、Palo Alto Unit42：MCP sampling 注入向量（2025-12）
• unite.ai：AI Agent Skills 供应链安全（ToxicSkills）、timmcallister.io：ToxicSkills 事件时间线、@snyksec
• Socket.dev：OpenClaw 技能市场成为恶意软件载体、SlowMist：ClawHub 恶意技能投毒分析
• GetOpenClaw 指南：OpenClaw 与 ClawHub 界定（本次抓取核实）
• nhimg.org：恶意 Agent Skills 为何比普通提示注入更危险、CSA 研究札记：SKILL.md 上下文投毒（2026-05）、Reversec Labs：用恶意 Skills 入侵 Claude Code（2026-05）
• SSOJet：OWASP LLM Top 10 与 Agent 安全引述（单一来源）

数据口径与未竟事项（如实声明）

1. 两章口径出入及处理：Snyk ToxicSkills 的报告日期，纵轴记为"2026 年 10 月"、横轴依事件时间线记为 2026-02-05，本报告取横轴日期（来源更具体）；缺陷率 36% 与 36.8% 并注，差异应为取整口径。MCP SDK 月下载量两章分别记录 1.1 亿（约 2026 年初，Dev Summit 数据转述）与 4 亿+（2026-07，GrowthMethod），两者均为单一二手来源，本报告并注且提示勿直接引用。"USB-C"类比：MCP 官方文档介绍页使用该表述（抓取核实），Anthropic 2024-11-25 新闻公告页面未使用，正文已分别说明。
2. agentskills.io 的 Client Showcase 页面为动态渲染，直接抓取仅返回页面壳，未能枚举完整官方客户端名单；"Microsoft、GitHub、Cursor 采纳 Skills"等表述来自检索摘要而非规范站原文——本版已将该限定前置至正文使用处（2.2 主表生态行、2.5 生态条），文末声明与正文对冲保持同步。
3. MCP 服务器数量（17,000+）、SDK 月下载量、"70+ 平台集成 Skills"、A2A"150+ 组织"（厂商/基金会口径）等规模数据均为单一来源，未获独立复核。
4. 标注（检索摘要）的 arXiv 论文（2506.02040 之外的 2512.06556、2602.06547）、OWASP Agentic Skills Top 10 细节、NSA 指南细节解读、以及部分社区数据（"15% 恶意率"、"1.9% 恶意率/13:1 误报比"——后者系检测论证中的假设值而非实测比例，见 2.4.2 口径层次说明、"审核排队 6 周+"）未打开原文核对，仅按检索结果转述。
5. 极少量更早的行业背景（2022 年提示注入概念的提出、2025 年 4 月 A2A 发布）基于模型既有知识补写，已明确标注，本次未核验原始页面。
6. "Skills 脚本以宿主/用户权限运行、无沙箱"为报告推断（见 1.7、2.2、2.4.2、3.2 各处标注）：agentskills.io 规范与《Using scripts in skills》指南（本次抓取核实）仅约定脚本由 agent 经 shell 执行，未约定沙箱/权限隔离层；实际隔离能力取决于各客户端宿主自身的沙箱机制，各实现可能不同。