过去一年行业忙着给智能体接工具、接模型、接数据，但一个更隐蔽的问题浮上来：当 Agent 能直接调用成百上千个工具、在协议层自由流动时，到底谁来管「它能做什么」。10 月这一周的几条消息凑在一起，指向一个正在成形的转向——治理的重心正从「管模型说什么」挪到「管行为、管工具、管协议」。
MCP 正在成为治理面
最明显的信号来自企业级供应商。9 月那一周，ServiceNow、Rubrik 和微软先后把策略执行压到了 MCP（模型上下文协议）这一层：ServiceNow 的 AI Gateway 在网关层管「Agent 能发现哪个服务器、调哪个工具、访问哪类资源」，Rubrik 的 MCP 嵌入了对齐 OWASP MCP Top 10 的护栏并发放短时令牌，微软则在 Global Secure Access 套件里加了一个 MCP 防火墙（当前公开预览），在网络层发现并拦截未授权或未知的 MCP 服务器、对具体方法做细粒度策略。这套治理栈如今铺到了四层——构建时（Cisco）、运行时（NVIDIA、WSO2）、数据安全（Rubrik）、网络（微软）——而 MCP 恰恰是它们收敛的那张面。关键不在于某家厂商，而在于「治理落在协议层，而非模型或应用层」这个架构选择：无论背后是哪个模型、哪个界面，Agent 都不能越过 MCP 层许可去行动。
从管模型到管行为
布鲁金斯学会 10 月 12 日发布的《塑造 AI 智能体的全球治理》把这条转向说得更透：既有的基于风险、覆盖全生命周期的原则仍然成立，缺口在落地——治理要回答的不再只是模型说了什么，而是系统做了什么、为什么被允许这样做、谁为此负责。文章给出的六要素很可操作：预先授权、明确责任人、设定人工干预阈值、运行时监测、集中网关、端到端可追溯。它特别强调 MCP 这类开放标准能促进跨系统协同，但也要给各地留适配空间。把这篇和 Figma 一口气接入 20 多家 MCP 伙伴、Self Labs 用独立保险库管住 Agent 支付凭证放在一起看，趋势是一致的：工具生态越膨胀，治理越要从「能力」追到「行为」。
规范的裂缝，要自己补
但协议本身还留着口子。以 MCP 的工具安全规范为例，服务端有四条「必须」——校验输入、访问控制、限流、清洗输出；而客户端那一侧，人工确认敏感操作、调用前显示输入、校验结果、超时、审计日志，大多只是「建议」。也就是说，「人工在环」在规范里是 SHOULD 而不是 MUST，不能指望模型自己把关。这恰恰是企业要在自己的策略层补上的控制：哪些工具需要批准、由谁批准、提示显示什么、日志记到哪里，必须由客户端、代理或下游系统强制执行，而不是交给模型判断。把这几件事连起来，本周的图景很清楚——MCP 让工具生态爆发式连接，而治理正沿着同一张协议面收拢成独立品类：身份、边界、验证之外，又多了一层「按工具、按行为」的实时管控。
目前官方及行业暂未披露更多细节，包括微软 MCP 防火墙的正式可用时间表与各家治理层之间的互操作进展，后续将持续跟进迭代动态。这篇把「管模型」到「管工具、管行为」的转向，从几句行业口号梳理成了可对照的架构与规范事实。