MCP server 裝到成百個，coding agent 點解會慢同亂
工具越多未必越醒，context 同權限都要計成本
172 個 tools，聽落威，實際幾易出事
XDA 作者 Mahnoor Faisal 今次寫咗個幾貼地嘅錯：佢將搵到嘅 MCP server 都塞入 Claude Code，最多見到 172 個 tools。結果 coding agent 未開始寫 code，context 已經俾工具定義食咗一大截。佢後來用 Claude Code 嘅 Tool Search，開住同一批 tools 時，未用之前由 141k tokens 變成 0；真係做任務時，只拉入大約 2.6k tokens。呢組數係佢自己環境，唔等於所有 agent 都一樣，不過方向好清楚：MCP 會食 context、攞權限，仲可以代你做實際操作，所以唔可以當普通外掛咁亂裝。
圖片：Model Context Protocol
點解工具會拖慢 agent
MCP 本身係開源標準，畀 AI app 接駁外部資料、工具同 prompt。架構上，client 會向每個 server 攞 tool list，再將工具名、說明、參數放入模型可以見到嘅可用工具清單。幾個工具冇乜事，但你同時開 GitHub、Slack、Notion、Google Drive、database、browser automation、Figma，呢份清單就唔再係背景設定，佢會搶走本來應該留畀 repo、diff、錯誤 log、測試輸出嘅位置。agent 成日「唔記得前文」或者揀錯工具，有時原因好簡單：你一開局已經塞滿佢張枱。
Tool Search 幫到手，但唔係免死金牌
Anthropic 官方文件講得幾白：工具定義全塞入 context，工具一多就會造成 context bloat；可用工具多過 30 至 50 個之後，Claude 揀啱工具嘅能力會跌。Tool Search 嘅做法係先收起工具定義，到任務用得着先搜尋同拉入少數相關工具，官方話一般可以將呢部分 context 開銷減少逾 85%。XDA 個例子正正係呢類情況，172 個 tools 靜止成本降到 0，聽落好爽。不過 Search 只係幫你少食 token，冇幫你判斷 Slack send_message、GitHub create_issue、Notion update_page 邊個應該長開。工具名相似、描述含糊、server 重疊，agent 一樣會揀錯方向。
真正要驚係權限
token 之外，仲麻煩係權限。MCP 官方安全建議特別提 scope minimization：token scope 太闊，偷咗或者漏咗，影響範圍就會放大；本機 MCP server 又可能用同你個 client 一樣嘅權限跑指令。NSA 2026 年 MCP 安全報告亦提醒，GitHub 類工具如果授權太闊，可以接觸 private repo，甚至帶來寫入或者公開內容嘅風險；訊息平台同多 agent 串接亦會引入 tool description poisoning 呢類攻擊路徑。呢度唔係點名某個熱門 server 有漏洞；重點係權限設計一鬆，agent 做錯一次就可能變成真實操作。公司 repo、客戶 Drive、Jira ticket、Slack channel 擺埋同一個 session，風險自然唔係玩具級。
MCP 應該點樣開
實際做法好簡單：按 project 分 server。做前端先開 browser / Playwright / Figma，做 issue triage 先開 GitHub / Jira / Slack，做 database migration 先開 database read-only；唔好一份全家桶 config 走天涯。OpenAI Codex 官方文件寫明可以用 project-scoped .codex/config.toml，亦有 enabled_tools / disabled_tools 同 approval mode 呢類控制；Claude Code 亦可以做 per-session enable / disable。理想狀態係每次任務開一個啱範圍嘅工具箱，完成後返去細清單。
權限要由細開起
第二步係權限預設收細。GitHub 用 repo-level token，只係讀資料就 read-only，真係要改 issue / PR 先開 write；Google Drive 同 Notion 只畀指定 folder 或指定 workspace，唔好成個 account 放出去；database server 預設 read-only，production 寫入另開 session，再配 approval。第三步係定期清 server。每星期或者每個 sprint 睇一次 /mcp 同 config，冇用嘅 disable，重疊嘅揀一個，工具描述唔清楚就唔好放入長期清單。好多 agent 出錯，未必關模型能力事，反而係你畀咗佢太多差唔多嘅門匙。
做法指引未必要 server
仲有一個位值得借鏡：做法指引未必要 MCP server。你只係想 agent 跟住某套 commit message 格式、整理 PR summary、開 ticket 前先查清單，放成 skill 或 repo instructions，成本通常低好多；MCP server 應該留畀真係要接外部系統、讀資料、執行 action 嘅情況。呢個分法對細 team 特別實用，因為大家通常同時接公司 repo、客戶文件同 SaaS 權限，亂開 server 好快變成「方便一分鐘，之後每次任務都埋單」。
用少啲，反而穩定啲
所以睇返呢件事，MCP 要當 infrastructure 管，唔好當 Chrome extension 咁亂裝。agent 變慢、token 用多咗、context 變亂，已經夠麻煩；更大問題係，好多公司工具本身有寫入權限，長期開住會放大風險。按 project 分 server、read-only 先行、敏感 action 要 approval、定期清走唔用嘅連接，coding agent 先會穩定幫手。
參考來源
- XDA Developers — I made the mistake of loading every MCP server into my coding agent, but here's what I do now instead — original report
- What is the Model Context Protocol (MCP)? — MCP 官方解釋用途，同點樣接駁外部資料、工具同 prompt。
- Architecture overview - Model Context Protocol — 核對 MCP client、server、tools/list 同工具發現機制。
- Security Best Practices - Model Context Protocol — 官方安全建議，特別係 scope minimization 同 token 權限風險。
- Tool search tool - Claude Platform Docs — Anthropic 官方 Tool Search 文件，補充工具過多點樣食 context 同影響選擇。
- Model Context Protocol - Codex | OpenAI Developers — OpenAI Codex 官方 MCP 設定文件，用嚟核對 project-scoped config、enabled tools 同 approval mode。
- Model Context Protocol (MCP): Security Design Considerations — NSA 2026 報告，補 MCP 權限、tool poisoning 同企業採用風險背景。
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
