MCP、A2A、AP2 與 正式環境技能 Michael AI Agent Lab
草稿待審
Michael AI Agent Lab · 工程筆記

從連接工具到能安全上線的 代理 技能

模型只是大腦。真正能工作的 代理，還需要工具介面、協作協定、程序記憶與上線驗證。這份教學把每一層的責任、風險和使用時機拆清楚。

01 · 連接 MCP 讓 代理 使用工具、資料與外部服務。
02 · 協作 A2A 把任務交給另一個具自治能力的 代理。
03 · 授權 AP2 保留付款意圖、授權與交易證據。
04 · 記憶 技能 按需載入 SOP、腳本和參考資料。
05 · 驗證 評估 驗證觸發、輸出、工具軌跡與迴歸。
01 · 核心區別

先判斷你缺的是「工具、同事、授權」還是「做事方法」

四個名詞不是互相取代，而是處理不同邊界。選錯層次，會把簡單工具呼叫做成複雜多 代理 系統，或把高風險付款誤當一般 API 操作。

模型 ↔ 工具

MCP

標準化 代理 如何發現並使用 工具、資源 與 提示詞。底層 API 仍負責真正的查詢、寫入或寄送。

使用時機 查信件、讀資料庫、搜尋文件、操作核准過的 App。
Agent ↔ Agent

A2A

標準化具自治能力的 代理 如何公開能力、接收任務、交換訊息與產出 產物，適合長時間或多回合協作。

使用時機 主 代理 把專業分析交給法務、財務或設計 代理。
Agent ↔ 付款

AP2

透過 型別化授權憑證 與 交易收據 記錄使用者意圖、付款授權及交易結果，讓 代理 付款可限制、可驗證、可追溯。

使用時機 採購、訂閱、差旅或任何會產生金流的 代理 工作。
Agent ↔ 程序

技能

把 SOP、判斷規則、腳本、參考資料與資產包裝成按需載入的程序記憶，避免每次重新說明。

使用時機 重複報告、文件檢查、教學檔製作、固定審核流程。
不要把 MCP 簡化成「單向、無記憶」 MCP 的核心是工具與 上下文 介面；A2A 的核心是 同儕代理 的任務協作。MCP 伺服器 可以有狀態，工具也可能執行長任務，真正差異在抽象層級與責任邊界。
元件 主要對象 負責什麼 不負責什麼 最大風險
MCP 代理 與工具／資料 能力發現、輸入 結構規格、呼叫介面 不取代 Gmail、ERP 或資料庫原本的 API 過度權限、惡意 伺服器、機密 外洩
A2A 代理 與 代理 能力卡、任務、訊息、產物、長任務協作 不保證對方 代理 的答案正確或可信 信任邊界、資料外送、責任不清
AP2 代理 與付款體系 授權意圖、授權憑證、交易收據、爭議證據 不取代商務協定、商品目錄或支付網路 誤購、超額、授權被冒用
技能 代理 與工作程序 保存可重複步驟、規則、腳本與參考資料 不自動保證 觸發、結果與工具軌跡正確 錯誤觸發、上下文 污染、迴歸
02 · 最小權限

MCP 不是裝完就能用：先做五道安全檢查

MCP 伺服器 可能以你的電腦權限執行，也可能連到公司系統。連接成功只是技術檢查；真正的上線條件是來源可信、權限最小、機密 隔離、寫入可控、活動可稽核。

1

查來源

優先官方版本；確認 repository、維護者、最近更新、發布版本、已知問題與安裝內容。

2

縮權限

從 唯讀、限定資料夾、限定帳號與限定 API 權限範圍 開始，不給整台電腦或整個信箱。

3

隔離 機密

API key、代元 與密碼放在本機安全儲存或環境設定，不貼進聊天、技能 或 Git。

4

擋副作用

寄信、刪除、付款、部署與公開發布都需要明確確認；可先提供 草稿 或 試跑。

5

留軌跡

保存使用者要求、選用工具、參數、執行順序、結果與人工批准，才能追查問題。

先看，後改 新的連接器先以唯讀方式觀察，再逐項開放必要寫入。
一次只開一個能力 先驗證單一工具與單一資料範圍，不要一次接整套公司系統。
高風險動作必須有人點頭 付款、外寄、公開、刪除和正式環境變更不得靜默執行。
03 · 漸進揭露

技能 的價值不是「存 提示詞」，而是只在需要時載入正確資訊

把所有 SOP 塞進 system 提示詞 會持續消耗 上下文，也讓模型更難辨識當下真正重要的規則。技能 以三層載入，把選擇、程序與詳細資料分開。

L1
中繼資料：name＋description 所有 技能 的簡短目錄。代理 用它判斷「這次任務應不應該載入」。描述 就是 路由合約。
啟動時載入 約百 代元／技能 的設計目標
L2
指引：SKILL.md 核心程序 只保留必要步驟、決策、工具邊界、驗收條件和應讀取的資源。選中該 技能 才載入。
觸發後載入 Google ADK 範例建議低於約 5,000 代元
L3
資源：references／scripts／assets 詳細規格、案例、模板、可執行腳本和品牌資產。只在程序明確需要時才讀取或執行。
按步驟載入 不需要就不進 上下文
5,000 不是跨平台硬限制 官方範例使用 代元，不是固定中文字數。技能 大小仍要依模型、代理 harness、同時載入的工具與實際 評估 判斷；看到長檔案時，先分離參考資料，不要機械式切字數。
04 · 失敗模型

技能 能被讀取，不代表它能安全工作

正式環境技能 至少要分別檢查四種失敗。只看最後答案，會漏掉錯誤工具、錯誤順序、額外副作用，以及新 技能 對舊流程造成的干擾。

01 觸發失敗

該出現時沒出現，不該出現時卻搶工作

描述 太模糊、和其他 技能 邊界重疊，或只靠特定關鍵字，會造成 路由 錯誤。

怎麼測：正例、反例、近鄰 技能、同義改寫與模糊輸入。
02 詞元預算不足

載入後 上下文 變吵，反而讓其他任務退化

過長的指令、重複規則或不必要參考資料會增加成本，並降低模型抓住重點的能力。

怎麼測：量測載入 代元、延遲、成本及不相關任務的品質變化。
03 執行失敗

技能 觸發正確，但結果或執行軌跡錯誤

最後文件可能看起來正常，過程卻先公開、先寄出、查錯資料，或用錯工具參數。

怎麼測：同時驗證 輸出、選用工具、參數、順序、重試與 副作用。
04 回歸問題

新 技能 自己通過，卻讓既有 技能 選錯或變差

新增 描述、共享工具或全域規則後，原本穩定的 路由 與輸出可能被改變。

怎麼測：把整個 技能庫、共用工具及固定回歸案例一起執行。
05 · 發布關卡

四道防線把「看起來能用」變成「有證據可以上線」

每一道防線處理不同風險：先定義正確、再擴大案例、主動攻擊、最後限制真實影響。缺任何一層，都不應直接開放高權限操作。

1 以評估作為單元測試

寫 技能 前先定義 輸入、預期工具／軌跡、預期輸出 與不能發生的副作用。

攔截：方向錯、基本執行錯
2 黃金資料集

收集去識別化的真實案例、長尾情境、標準處理方式與人類修正，持續擴充回歸資料集。

攔截：只會做漂亮範例
3 紅隊測試

刻意測 提示詞 injection、越權、資料外洩、假連結、錯誤參數及要求跳過規定的輸入。

攔截：惡意與極端輸入
4 影子模式＋小範圍試行

先在後台產生草稿，不觸發真實副作用；通過後只開放少量任務，監測再逐步提高。

攔截：測試環境看不到的問題
唯讀 只查詢資料，不改動來源。
僅草稿 可以產生建議、文件或信件草稿。
小範圍試行 少量真實任務，完整監控與可回滾。
允許執行動作 通過政策、評估、審批與稽核才開放。
06 · 後設技能

能產生 技能 的 技能，只能先當草稿工廠

技能生成技能 可以加速整理經驗，但也可能放大錯誤、學到偶然步驟或迎合不完整評分。沒有穩定 評估、版本控制和人工 關卡，就不要讓它直接改正式 技能庫。

編寫

從需求、SOP 或訪談內容建立第一版 SKILL.md、references 與 評估 草稿。

軌跡輔助

從已成功完成的任務軌跡辨識可重複程序，再轉成待審 技能。

改進

根據失敗案例、路由 錯誤與 回歸 結果，提出最小修改並重新評估。

技能庫演進

從重複出現且已驗證的工作，提議新增、合併、淘汰或拆分 技能。

觀察 取得需求或去識別化成功軌跡
草擬 產生候選 技能 與最小變更
評估 跑 觸發、輸出、執行軌跡、回歸
人工審查 確認邊界、資料、權限與商業規則
小範圍試行 小範圍觀察並準備 回復
提升為正式版本 證據通過後才進正式 技能庫
07 · 實際情境

範例：每週 Critical Issue 報告要怎麼拆

不要一看到複雜流程就堆滿所有協定。先用最少元件完成可控版本，再讓 評估 決定是否需要更多 代理 或寫入權限。

任務目標

每週整理核准來源中的異常、風險、負責人、期限 與下一步，先產生內部草稿供 PM 審核。

MCP／連接器

讀取來源

只讀取核准的 Excel、郵件與 問題 資料夾；不自動修改原始資料。

技能

套用 SOP

定義欄位、風險分級、證據要求、缺資料標記和固定報告格式。

A2A · 選用

專家覆核

只有需要電性、韌體或法規專業時，才把特定項目交給對應 代理。

評估＋人工

草稿閘門

檢查遺漏、錯誤 負責人、無來源結論與敏感資料；PM 點頭後才能發送。

這個流程不需要 AP2 因為沒有金流。協定不是成熟度徽章；只有真正發生對外付款與授權證據需求時，才導入 AP2。
08 · 可直接使用的提示詞

可以直接交給 Codex 或 Claude 的三個任務

這些提示詞把「先檢查、再變更」寫進流程。模型先交付報告或草稿，不會因為看見安裝說明就直接修改系統。

安裝 MCP 前先做風險審查 
請先審查這個 MCP，不要安裝。

檢查：
1. 是否為官方或可信維護者
2. 安裝時會執行哪些程式
3. 需要哪些檔案、網路與帳號權限
4. secret 如何保存，是否會進聊天紀錄
5. 能否先用 read-only 與最小 scope
6. 寄送、刪除、付款等副作用如何確認
7. 最近維護、已知漏洞與 rollback 方法

先給我風險等級、證據連結和建議設定。
我確認後才能安裝。
把 SOP 設計成 正式環境技能 
把以下 SOP 設計成一個 Skill 草稿。

先交付：
1. 三個應觸發案例
2. 三個不應觸發案例
3. 最容易混淆的相鄰 Skill 與分界
4. 精簡的 name 與 description
5. SKILL.md 核心程序
6. 應拆到 references / scripts / assets 的內容
7. trigger、output、trajectory、regression evals
8. 權限、資料與人工確認點

不要直接加入正式 Skill library。
先讓我審查草稿與測試案例。
技能 上線前 發布審核 
對這個 Skill 做上線前檢查，不要部署。

依序驗證：
- Trigger：正例、反例、同義改寫、近鄰 Skill
- Token：載入大小、延遲、成本、不相關任務退化
- Execution：結果、工具、參數、順序、副作用
- Regression：完整 Skill library 與共用工具
- Security：prompt injection、越權、secret、資料外送
- Rollout：read-only、draft-only、shadow、canary、rollback

輸出 PASS / FAIL 表格、失敗證據與最小修正。
沒有證據通過的項目一律標示為 FAIL。
09 · 來源與審查筆記

資料來源與核對範圍

技術定義優先採官方規格與官方工程文章；數字門檻視為起始設計目標，仍需以自己的模型、代理 harness、資料與 評估 結果決定。

草稿日期：2026-07-27。MCP、A2A、AP2 與 Agent Skills 都仍在快速演進；正式採用前，應重新確認當日規格版本、官方 SDK、授權方式、安全公告與組織政策。