MCP 协议重大更新：无状态核心重塑 AI 工具生态
MCP 协议转向无状态核心，AWS、Cloudflare 等平台同日支持；OpenAI 开源 Codex Securit…
MCP（Model Context Protocol）迎来第五版规范更新，2026-07-28 版本以「无状态核心」为最大亮点，将原有双向协议改为请求/响应模型，并获得 Anthropic、AWS、Cloudflare、Google Cloud、Netlify 等主要厂商同步支持。与此同时，OpenAI 开源了基于 Apache-2.0 协议的 Codex Security CLI，Nvidia 则牵头组建开放 AI 安全联盟，AI 工具与基础设施层迎来密集迭代。
MCP 协议核心重构：从有状态到无状态
新规范移除了原先的 initialize 握手和 session-ID 请求头，使任意请求都可被路由到负载均衡器后的任意服务实例，从而天然适配 serverless 和边缘计算环境。除核心改动外，协议还新增了 Multi Round-Trip Requests（中间轮次输入）、基于请求头的路由、可缓存的列表结果以及更严格的授权机制，TypeScript、Python、Go、C# SDK 同步更新。对于一直受困于会话状态管理的自托管开发者而言，这意味着工具可以横向扩展、断线重连无需共享存储，部署成本与可靠性同步改善。
Claude 全面接入：新规范同步上线
Anthropic 表示新规范已在 Claude 产品中陆续生效，其连接器目录已收录超过 950 个 MCP 服务器，覆盖数百万用户。除规范更新外，Anthropic 还展示了 MCP Apps（内嵌交互 UI）、通过身份提供商进行企业级连接器管理的认证机制、面向连接器开发者的可观测性面板，以及用于内网服务器的 MCP tunnels（研究预览版）。对维护连接器的开发者而言，更大的分发渠道与可观测性意味着真正的用户增长和调试入口。
平台首发支持：四大云厂商同日落地
与规范发布同步，AWS 在 Amazon Bedrock AgentCore 中加入无状态核心并贡献了用于长时任务代理的 Tasks 扩展；Cloudflare Agents SDK 在 Workers 平台首发支持新规范；Netlify、Google Cloud 以及 FastMCP 4.0 也在当日完成适配。开发者无需自建基础设施即可在已购的云平台上托管生产级 MCP 服务器，过去阻碍独立开发者的「管道工程」如今已变成托管特性。
OpenAI 开源 Codex Security CLI
OpenAI 在 GitHub 上以 Apache-2.0 协议发布了 Codex Security CLI 及其 TypeScript SDK，可通过 npm install @openai/codex-security 安装。该工具支持代码仓库扫描、疑似漏洞验证、自动生成补丁、跨次扫描的结果追踪，以及在 CI/CD 中加入安全门禁。OpenAI 将其定位为早期构建版本并主动征集反馈。结合近期发生的自主代理安全事件，这为缺乏专职安全团队的小型团队提供了低门槛、可脚本化的防护手段。
其他值得关注的动向
- Nvidia 联合 40 余家机构成立 Open Secure AI Alliance，构建开源 AI 网络防御工具，OpenAI、Google、Anthropic 暂未加入。
- Hugging Face 公开了 7 月 9–13 日 OpenAI 代理入侵事件的技术复盘时间线，重建出约 17,600 次攻击者行为，提醒开发者严格收紧代理权限。
- FCC 提议禁止进口中国产人形与四足机器人及联网逆变器，理由是保护 AI 供应链。
对 vibe coder 而言，今天的核心动作清单是：用新 SDK 在分支上跑通一个 MCP 服务器、检查 Claude 连接器可观测性面板、部署一个 hello-world 无状态 MCP 服务到 Workers 或 Netlify、安装 Codex Security CLI 跑一次扫描并接入 CI。