#MCP
24 篇文章
TechLab 所有關於「MCP」嘅文章、評測同教學，由最新排起。
3C 產品Google Antigravity 接通 Figma 三分鐘出 code，離正式上線仲有幾關
Google Antigravity 經 MCP 讀取 Figma 設計，幾分鐘就砌到可操作嘅 React 網頁。不過原文個例子只係四頁 onboarding demo，仲鎖死手機尺寸；要放入真正產品，元件重用、responsive、無障礙、測試同安全都要逐項補返。
Tech NewsGitHub 率先擺脫 MCP session：遠端 server 擴容唔使再綁死同一部機
MCP 新版刪走初始化握手同協定層 session，遠端 server 可以直接放喺普通負載平衡器後面，唔使再靠 sticky session 綁住同一部機，亦唔使另外用 Redis 畀各部 server 共用 session 狀態。GitHub 已率先實裝，不過第三方 client 同 server 仍要處理 breaking changes。
Tech NewsClaude Desktop 一撳即中漏洞已修補：deep link 點樣繞過確認、權限點解會放大風險
Claude Desktop 舊版處理 claude:// 連結時，曾經會跳過人手確認，直接執行攻擊者塞入連結嘅 prompt。漏洞已喺 1.1.2321 修好，不過事件亦提醒用戶：AI agent 一旦獲准讀寫公司文件、程式碼同本機工具，一次普通撳連結都可以變成高風險入口。
Tech NewsGlow 以 12 億美元估值出關：公司點管 AI coding agents 先至安全
Glow 融資 1.8 億美元，主攻 AI coding agents 帶嚟嘅 endpoint 風險。真正值得拆解嘅係 shadow AI、MCP 供應鏈同過闊權限：當 agent 可以讀 source code、攞憑證兼落指令，裝咗傳統防毒都未必代表管得住。
Tech NewsKiro 已修補網頁藏指令執行程式碼漏洞，MCP 設定檔成高危入口
Kiro IDE 一個已修補漏洞，曾容許網頁暗藏嘅 prompt 指令改寫 MCP 設定，再以開發者權限執行程式碼。研究團隊確認 0.11.130 已擋住同一攻擊，事件亦提醒團隊：coding agent 嘅核准視窗只係其中一層防線，敏感設定、憑證同執行環境一樣要分隔。
Tech NewsNadMesh 掃描自架 AI 服務：Ollama、ComfyUI 同 MCP 要即刻檢查咩
NadMesh botnet 正掃描 Ollama、ComfyUI、Gradio、n8n 同 MCP server，入侵後會搜掠 AWS key、Kubernetes token、.env 同 Docker 憑證。控制台數字未經獨立核實，但外露服務、舊漏洞同持久化痕跡已經值得即刻檢查。
Tech NewsMCP 新版拆走 session：AI agent 接工具易部署，升級就要慢慢嚟
MCP 2026-07-28 候選版拆走 protocol session，令 remote server 易啲放喺普通 HTTP 基建後面擴展。新規格亦加入 extension 架構、重整 Tasks 同授權，不過 SDK 同 client 支援未同步，正式環境暫時唔適合盲升。
3C 產品Paper 接駁 LM Studio 本地模型：AI 改 UI 同 design tokens 點樣玩
Paper Desktop 可以經 MCP 畀 LM Studio 入面嘅本地模型讀寫畫布，用自然語言改 UI、建立 design tokens，慳返雲端模型 API 成本。不過 Paper 本身仍然係 hosted SaaS，亦唔支援 self-host，私隱同「全本地」要分開睇。
Tech NewsAI agent 嘅風險未必出喺最後答案：TraceSafe 追查工具呼叫途中問題
Agent 交出嘅答案睇落正常，背後可能一早讀錯檔案、洩漏 API key，甚至呼叫咗唔應該用嘅工具。TraceSafe-Bench 將焦點放喺多步工具呼叫軌跡，提醒開發團隊要喺執行期間檢查權限、參數同外部資料。
Tech NewsOpenShift 4.22 加入 AI agent 接口：MCP 點樣限制 Kubernetes 權限
Red Hat 喺 OpenShift 4.22 加入技術預覽版 MCP server 同 gateway，等 AI agent 可以查叢集狀態，甚至經批准後改動資源。真正值得睇嘅係 RBAC、OAuth、工具限制同 audit log 點樣夾埋用；功能仍未適合直接放入 production，敏感資料亦唔會自動遮走。
3C 產品本機 AI 整理檔案點解仲輸雲端？模型、MCP 同圖片傳遞逐層拆解
XDA 作者用本機 Qwen 整理截圖，細模型亂報檔案數目，大模型又收唔到圖片；換 Claude 後先完成分類。呢個結果未足以證明 local LLM 輸硬，反而揭出模型、MCP、圖片傳遞同硬件每一層都可能出錯。
Tech NewsX 開放官方 MCP server，AI agent 接入社媒資料少一層工夫
X 推出 hosted MCP server，等 Claude、Cursor、Grok Build、Codex 呢類工具用標準方法接 X API。方便係真，但唔代表可以任 agent 自動出 post，API 收費、OAuth 權限同反 spam 規則都會左右實用性。
3C 產品Gemini 用戶最想 Google 修嘅，係 Workspace 同 tool calling
Google Gemini 負責人 Josh Woodward 整理用戶 feedback，排頭兩項係 Workspace 接駁同 tool calling 可靠性。呢個仲有意思過新功能列表，因為 Gmail、Docs、Drive 同 AI agent 要真係幫到手，第一步係少出錯。
Tech NewsAI agents 入企業，Cisco Duo IAM 想補返權限治理缺口
iThome 報道，Cisco 喺台灣展示新版 Duo IAM，想將零信任存取套用到 AI agents 身上。呢件事值得睇，因為企業用 coding agents 連 GitHub、Jira、Slack 同內部資料時，舊式員工帳號同 API key 已經好難交代風險。
3C 產品本機 LLM 都識叫工具：local AI agent 入門要睇清限制
XDA 作者用本機模型接 Playwright、SearXNG、Crawl4AI 同記憶工具，示範 local LLM 而家可以自己揀工具、叫工具。不過要做到穩，模型、硬件、權限管理全部都要跟得上。
Tech NewsColdFusion 兩小時就有人打，NPM 同 AI 工具都要重新收緊
iThome 報道 ColdFusion CVE-2026-48282 公開後好快有攻擊跡象；官方同研究報告顯示，今次最值得開發者同 IT admin 留意嘅，係依賴套件、SSH server 同 AI 工具權限都要重新收緊。
3C 產品MCP server 裝到成百個，coding agent 點解會慢同亂
XDA 作者用 172 個 MCP tools 跑 Claude Code，發現工具定義可以食走 141k tokens。呢件事唔只係慢，仲牽涉 context 污染、工具揀錯同 token 權限風險。開發者應該按 project 開 server、收細權限，唔好一份全家桶設定走天涯。
3C 產品Claude Code project 設定點先穩陣：權限、model 同 MCP 要逐個收窄
XDA 作者分享每個 project 都會改 Claude Code 設定，但最值得拎走嘅係：prompt 寫得幾清楚都唔等於有安全邊界。權限、deny rules、model 同 MCP scope 要分開處理，團隊設定同個人 override 都要擺啱位。
3C 產品Fable 5 回到 Claude 訂閱，但開發者唔好當免費長工
Anthropic 重新開放 Fable 5，Claude Code 用家最有感嘅位唔淨止模型變聰明：長 task 可以少靠自家腳手架。不過訂閱只係短暫窗口，MCP、agent 同 safeguard 都有現實成本。
Tech NewsCoinbase 新 agent 會自己畀錢買研究，MCP + x402 先係重點
Coinbase 推出可交易又可付費攞研究同 API 數據嘅 AI agent。真正值得睇嘅位，係 MCP 點樣接住 ChatGPT / Claude 呢類 agent，x402 點樣用 HTTP 402 將 API 逐次收費變成自動付款流程。
Tech NewsAI agent 終於可以落盤：Robinhood 新功能真正要睇嘅唔係炒股，而係權限邊界
Robinhood 開放 AI agent 經 MCP 連接交易戶口，現時 beta 只限買入方向股票盤，香港一般用家未必可直接使用。更值得留意係：當 agent 由「睇資料」變成「可落盤」，券商、AI 平台同用家之間嘅權限、審批、紀錄同出錯責任，會變成金融科技最實際嘅安全問題。
Tech NewsStarlette BadHost 漏洞打中 AI agent：香港自架 MCP／FastAPI 要即查
Starlette 新披露 BadHost 漏洞影響 FastAPI、MCP server、LiteLLM、vLLM 等 Python AI 工具鏈。官方評級屬 Moderate，但下游 AI 部署一旦用錯 request.url.path 做權限判斷，可能令內部 API、token、客戶資料暴露。
3C 產品COROS 將跑錶數據接入 ChatGPT：香港跑手應該點睇 MCP？
COROS 推出 MCP 接入，容許 ChatGPT、Claude 讀取跑錶訓練數據做自然語言分析。呢個玩法比 Garmin、Suunto 內置 AI 更開放，但香港支援、健康數據私隱同 AI 建議可靠性，都要先睇清楚。
Tech NewsAnthropic 買起 Stainless：AI agent 真正爭緊嘅係工具連接層
Anthropic 收購 Stainless，表面係買一間 SDK 產生工具公司，實際係押注 AI agent 要可靠連接外部工具。交易作價未公開，Stainless hosted 產品會收尾，但已產生 SDK 仍歸客戶所有；香港開發團隊要即刻檢查依賴同替代方案。