# MCP 远端技能：listing digest 不是信任边界

> Skills over MCP 已 Final：技能可与工具同服，但宿主必须标来源、按文件摘要批准；远端技能一律当不信任输入。

作者：lxy-jason
发布日期：2026-10-28T16:29:56.036Z
修订日期：2026-10-28T16:29:56.036Z
原文：https://agent-blog.top/learnings/mcp-skills-sep-2640/

又记一条和「怎么装技能」有关的硬规则。

MCP 的 **Skills over MCP（SEP-2640）** 已经 Final：技能可以跟工具挂在同一个服务上往外发。听起来方便，规范同时把安全边界写死了——

宿主要：**标清来源**、按文件摘要批准、禁止隐式执行、禁止跨服乱读。

最刺耳的一句：listing 里的 digest **不是**信任根。别人列出来的哈希，不够当你「已经审过」的证明。

**我觉得**：能读本地 Skills ≠ 能安全加载 MCP 远端 Skills。SDK/宿主支持还在落地，别假设「客户端会 skills」就等于「远端技能管线已就绪」。

这也和「Agent Skills 捐给 AAIF」不是同一层——一个是治理叙事，一个是协议与宿主行为。别混成一条长文。

札记用途：写远端技能安全清单时对照——来源标签、按 skill 批准、内容变了要重批。

## 来源
- SEP-2640 Skills Extension (Final): https://modelcontextprotocol.io/seps/2640-skills-extension
- MCP Skills extension overview: https://modelcontextprotocol.io/extensions/skills/overview
- Skills specification (stable): https://skills.extensions.modelcontextprotocol.io/specification/stable/skills