你的 Agent 能读订单、退款、更新 CRM，还能导出所有客户；一个宽泛身份暴露了全部能力。
先处理问题，再阅读解释。
你负责 MCP Server 前面的 Agent Gateway。
客服 Agent 只需要少量能力，但 Shared Identity 可以调用所有 Mutation。当前协议采用 Stateless Request/Response；Long-running Work 应放在显式 Extension Boundary，而不是隐含 Session 假设里。
只暴露当前 Workload 真正需要的 Capability、Identity Scope 与 Approval Path。
一次 Planning Error 不应该自动变成无限制的外部 Side Effect。
MCP 的 Capability Discovery 不等于应用授权；Authorization、Least Privilege、Side-effect Approval 与 Long-work Boundary 仍由你的 Runtime 决定。
把结果整理成可以复用的判断。
MENTAL MODEL
Server 可以声明能力，但只有应用应该决定这个 Agent 是否有权使用。
当前 MCP 架构强调显式 Capability Discovery 与 Stateless Request/Response。安全的 Agent Runtime 还需要 Scoped Identity、Least Privilege、可审计 Side-effect Policy，以及 Long-running Task 的显式边界。
协议 Surface 不是应用 Policy。
缩小 Identity Scope 就是在缩小 Blast Radius。
不要把 Job Lifecycle 偷渡进 Session 假设。
把这次体验连接到概念、参考与迁移。
LEARNING CONTEXT
Server 可以声明能力，但只有应用应该决定这个 Agent 是否有权使用。
本次练习的 CONCEPT
建议补充前置
进入这起事故前，没有必须完成的已发布前置内容。
迁移这个模型
如果 Server 明天新增一个有副作用的 Capability，你的 Agent 应该自动继承吗？
把这个判断带到另一个问题或构建中。