MCP的出现代表了 AI 整体环境的重大进步。领域首次围绕工具交互的共享接口汇聚——标准化了模型如何发现工具、调用能力、交换上下文和与外部程序通信。话说回来，

但 MCP 也说明了一个更大的架构缺口：它解决了协议问题。没有解决运行时问题， 而运行时问题正变得越来越关键。许多开发者担心：只要工具能被调用，安全性就能得到保证？答案是否定的，

协议不是运行时

MCP 标准化了通信——定义工具发现、调用、资源管理——这是有价值的。但协议只定义“程序如何通信”，不定义“程序如何安全执行”。

类比一下这方面，HTTP 标准化了 Web 通信。但它没有解决应用隔离、运行时治理、资源调度和执行安全。这些是操作程序和运行时的职责。

BoxAgnts 的 MCP 实现体现了这个分层的本质。按理说，boxagnts/mcp/src/lib.rs负责所有协议级别的逻辑——JSON-RPC 消息格式、initialize/initialized 握手、tools/list 工具发现、tools/call 工具执行、stdio 和 HTTP/SSE 传输层：

// MCP 客户端连接
pub async fn connect_stdio -> anyhow::Result {
let backend = RmcpClientBackend::connect_stdio.await?，Ok))
}
// 工具调用
pub async fn call_tool
-> anyhow::Result {
self.backend?.call_tool.await
}

请注意——MCP 客户端只负责“调用工具并获取结果”，它不负责“这个工具是否应该被调用”或“调用应该在什么约束下执行”。那个职责属于运行时层。

当前 Agent 技术栈的不完整性

大多数 AI 程序的架构是：

LLM → 提示词框架 → 工具调用协议 → 主机执行

中间缺少了一层：运行时基础设施。这层负责执行隔离、能力边界、资源约束、状态持久化和执行可观察性。许多团队因为缺乏此层而导致部署失败或安全漏洞频发。

BoxAgnts 的完整技术栈清晰地展示了这个分层：

LLM
↓Gateway / Query
↓Tool Interface
↓WASM Sandbox ← 这里是真正的运行时
↓Host Resources

MCP 位于 Tool Interface 层旁边——它负责将外部工具引入 Agent 的工具集，但不改变底层的执行隔离。BoxAgnts 中 MCP 工具通过 McpToolWrapper 注册：

// boxagnts/gateway/src/api/mcp.rs
pub struct McpToolWrapper {
pub tool_def: ToolDefinition,pub server_name: String,pub manager: Arc。}
impl Tool for McpToolWrapper {
fn permission_level -> PermissionLevel {
PermissionLevel::Execute // MCP 工具默认被视为 Execute 级别
}
// execute 方法将调用委托给远程 MCP 服务器
}

MCP 工具接入后和其他原生工具一样走相同的 Tool trait 接口——但它们的执行发生在远程 MCP 服务器上，不受 BoxAgnts 的 WASM 沙箱保护。 这是一个需要清醒认识的安全边界差异。

工具调用 ≠ 工具执行

MCP 标准化了工具调用——模型选择工具名、结构化参数、执行请求。但更难的问题在调用之后：工具接收什么权限？可以访问哪些文件，允许哪些网络端点？如何约束资源，如何隔离执行？如何审计行为，这些是运行时关切，MCP 无法回答。

BoxAgnts 的做法是把 MCP 工具与原生 WASM 工具放在同一层接口下但在执行方法上做区分：

• WASM 工具: 在 Wasmtime 沙箱内，受 RunOption 全量约束；
• MCP 工具: 通过 McpToolWrapper 委托，信任边界在 MCP 服务器自身；

这代表着 MCP 工具的安全性取决于 MCP 服务器提供者的实现质量。如果 MCP 服务器不做沙箱。那它的工具调用就等同于主机直接执行，这对业务风险极大。

为什么 AI Agent 需要运行时隔离

传统软件早假设应用可能失败、依赖可能被攻破、进程可能行为异常。这就是容器、虚拟机、进程边界存在的理由。AI Agent 面临更严重的问题：LLM 驱动程序暴露在提示注入、对抗性文档和控上下文中。

A lot of teams ignore this and see “just run code.” The reality is that even a single malicious tool can compromise entire workloads.

BoxAgnts 的 Connection Manager（/boxagnts/mcp/src/connection_manager.rs) 展示了即使是 MCP 连接也需要治理：

pub async fn connect_all -> anyhow::Result<> {
for name in names {
if let Err = self.connect.await {
error!(server = %name,error = %e。"MCP server failed to connect during startup");}
}
Ok)
}

This isolation ensures one failing server does not bring down ors—something many frameworks miss.

领域先标准化了错误的层

当前环境投入大量精力标准化模型接口、工具协议、提示词格式与编排框架。这些有用，但历史表明基础设施最终被执行约束，而不是接口。

• The web didn’t just grow because HTTP existed—it grew because OSes,containers。orchestrators and runtimes emerged.
• The same applies to AI infrastructure: a protocol is necessary but not sufficient.
• The decisive factor is runtime reliability—not just syntax.

A new paradigm emerges:

• The protocol layer sits on top.
• The runtime layer sits underneath.
• You can discover tools via protocol but execution constraints are governed by runtime.

Critical Runtime Engineering as an Emerging Discipline

• Bottleneck #1: 
• Bottleneck #2: 
• Bottleneck #3: 
• Bottleneck #4: 
.

Common Pain Points Faced by Practitioners:

• "How do I ensure a tool can’t read arbitrary files on my host?" — Without proper sandboxing you’re exposing your data lake. Solution: enforce strict file permissions at runtime level.
• "What happens if a tool consumes all CPU or memory?" — Unlimited resource usage can halt critical services. Solution: set hard limits in WASM sandbox configuration.
• "Can I audit which actions each tool performed?" — Lack of observability hampers debugging and compliance. Solution: emit structured logs from runtime engine and store m centrally.
• "Is it safe to trust third‑party tools?" — Even if a protocol is verified,execution may still be unsafe. Solution: enforce that all external calls go through sandbox before any privileged action occurs.

MCP Still Extremely Important – But Only One Piece of Puzzle!其实，

• The protocol simplifies integration across diverse systems;
• The runtime enforces safety and governance;
• Diverging responsibilities must be clearly separated to avoid misconfigurations that lead to data breaches or downtime;
• An effective stack balances both layers while allocating resources appropriately for each tier’s complexity. .
  

Future Vision – A Clear Layered Stack for Robust AI Agents:

LLM
↓ Protocol Layer ← Standardized communication interface
↓ Runtime Layer ← Core of isolation & governance
↓ Capability Sandbox
↓ Execution Infrastructure ← OS-level scheduling & resource accounting
↓ Host Resources
↘ Monitoring / Observability
This design ensures every call from LLM flows through a vetted protocol n lands in a secure sandbox before accessing host resources—making agents safe and compliant by construction.

P.S. How Do You Move From Theory To Practice?

• Select an open‑source framework like BoxAgnts that already separates protocol from runtime;
• Add custom policy rules for your domain—file access whitelist,network egress list;
• Create observability dashboards tied directly to sandbox events;
• Tune resource budgets based on real workload profiling;怎么说呢，Finally test end‑to‑end with a staged rollout—monitor for anomalous behavior before full production. .
  

---