MCP協議藏了3個黑箱：10行代碼讓AI代理"自證清白"

你的AI代理剛幫你取消了訂閱、發了郵件、轉了賬。它說"搞定了"。你信了。

但Stripe（在線支付平臺）真的返回了200狀態碼嗎？郵件到底發給了誰？數據庫修改前的原始值是什么？沒人知道——包括你自己。代理的"自報"是唯一的證據，而這份證據在代理自己手里。

日志即謊言：為什么MCP工具調用是黑箱

標準MCP服務器的工具調用長這樣：輸入進去，結果出來，中間發生了什么——HTTP請求頭、響應體、時間戳——全部在服務器進程里被消化后丟棄。

用戶看到的只有{"status": "cancelled"}。這是工具的自我陳述，不是獨立可驗證的證據。

有人第一反應是加日志：

但日志是行動者自己寫的。這相當于讓公司給自己做審計。在需要問責的系統里，自我報告和沒報告的區別，只是精致一點的盲區。

真正的透明度需要第三方可驗證的證據——密碼學意義上的"收據"（Receipt），而非自說自話的"日志"（Log）。

密碼學收據：把代理行為變成可審計事實

解決方案的核心是分離"執行者"和"證明者"的角色。代理仍然執行操作，但用密碼學技術生成不可偽造的操作痕跡。

具體實現依賴三個組件：

可驗證執行環境（TEE，可信執行環境）——在硬件隔離區域內運行敏感操作，生成簽名證明；透明日志（如Trillian、Certificate Transparency）——將操作摘要寫入公開可審計的日志；零知識證明（ZKP）——證明某操作符合策略，但不暴露敏感內容。

以TEE方案為例，代碼可以極簡：

這段代碼的關鍵在于：proof由TEE硬件密鑰簽名，任何第三方都能用公鑰驗證其真實性。代理無法事后抵賴，也無法偽造未執行的操作。

10行代碼的透明度：從概念到落地

實際部署中，完整方案可以壓縮到10行以內：

對比傳統日志，差異在于：傳統日志的驗證鏈條是"用戶→信任服務器→信任日志文件"；密碼學收據的鏈條是"用戶→驗證簽名→驗證TEE證明→驗證公開日志"。信任對象從"服務器運營者"變成了"數學和硬件"。

Stripe的響應體、郵件服務商的Message-ID、數據庫的變更前快照——這些原本被丟棄的證據，現在被哈希后寫入收據。即使代理服務器被攻破，攻擊者也無法逆向偽造歷史操作。

誰需要這個？合規、對賬、和那句"我明明沒點"

短期看，金融、醫療、政務場景的MCP部署會最先倒逼這個需求。PCI-DSS（支付卡行業數據安全標準）要求"所有訪問支付數據的行為可追溯"；HIPAA（健康保險流通與責任法案）要求審計日志不可被覆蓋；歐盟AI法案正在將"高風險AI系統的可追溯性"寫入法律。

長期看，這是代理經濟的基礎設施問題。當AI代理開始代表人類簽署合同、轉移資產、做出有約束力的承諾時，"它說做了"和"它能證明做了"之間的鴻溝，會成為整個商業模式的信用成本。

一個細節：目前MCP協議本身沒有規定收據格式。Anthropic（MCP的提出方）在社區討論中承認這是"已知限制"，但優先級排在多模態和性能優化之后。這意味著透明度方案現在只能作為服務器層的補丁存在，而非協議原生能力。