9 月 13 日，SEP-2640 正式合入 Model Context Protocol 规范：Skills 扩展定稿。这是 MCP 诞生以来第一次在 tools 和 resources 之外引入第三种能力原语——如果说 tools 定义了 agent"能做什么"、resources 定义了 agent"能访问什么"，那么 Skills 补上的最后一块拼图是：怎么把工具和资源组合成一个完整的任务。

这件事此前一直悬空。Anthropic 有 SKILL.md，OpenAI 开源 harness 里塞了 AGENTS.md，各家 CLI 工具都有自己的规则文件——"技能"事实上已经是 agent 生态里最活跃的分发单位，但没有一个跨产品、可验证的标准格式，知识散落在 README、提示词文件和口口相传里。

协议层长什么样

Skills 扩展没有发明新传输层，三个方法全部架在现有 Resources 原语上：

• skills/list：一次调用枚举服务器暴露的所有技能，每条包含 URI、完整 frontmatter（name 和 description 必填，其余字段原样透传）、以及一个完整文件清单——每个文件都带 SHA-256 摘要和字节大小。
• skills/get：按 URI 取单个技能条目，用于清单摘要不匹配时刷新，或补拉列表里省略的部分。
• resources/directory/read（可选）：非递归列出目录子项，子目录标 inode/directory，支持技能指令里"从 templates/ 里挑一个模板"这类场景。

URI 约定是 skill://<name>/SKILL.md，末段必须等于技能名，允许组织前缀（如 skill://acme/billing/refunds/SKILL.md）。文件内容仍然走既有的 resources/read——Skills 扩展只做目录和清单这一层。

三个容易被略过、但决定了成败的设计决策

第一，读取不等于激活。 规范明确：读文件只是传输，激活走宿主自己的技能加载路径——校验摘要、检查审批、记录来源。每次读取都对照清单验证 SHA-256 和大小。这个切分很关键：协议负责"可验证分发"，安全边界留在宿主侧，没有把信任模型硬塞进协议。

第二，身份是"服务器 + URI"，不是名字。 skill:// 前缀并非强制，两个服务器可以托管同名技能而不冲突。这避免了中心化命名争夺，代价是宿主要自己处理歧义。

第三，清单支持 "dynamic"。 动态生成、没有稳定摘要的技能可以声明自己没有文件清单——给运行时技能留了口子，但也埋下了审计的灰色地带。

为什么说这是 MCP 从工具协议走向技能分发网络

把现有基建串起来看：官方注册表（registry.modelcontextprotocol.io）已经预览了一年多，负责服务器的发现与命名空间验证；现在 Skills 扩展补上"能力包"的标准格式和摘要校验；客户端侧，微软 Agent Framework 1.19.0 在 9 月 19 日跟进——MCP 会话按调用隔离、技能档案限定 ZIP 格式并强制验证摘要。

注册表 + 技能清单 + 摘要验证，这个组合熟悉得像极了软件包管理器的历史：apt 和 npm 都是先有分发格式，再补签名与完整性机制，最后长出信任的生态。MCP 正在走同一条路，只是分发的对象从软件库变成了 agent 的技能。

冷静的一面：格式战争没有结束

不必过度乐观。SKILL.md 是 Anthropic 的事实格式，AGENTS.md 已随 goose 一起捐给了 Linux 基金会的 Agentic AI Foundation，SEP-2640 要统一的只是"协议内"的表达——三个格式如何收敛，还是未知数。历史经验是：事实标准往往活得比委员会标准好，最终可能出现的不是替代，而是各守一层。

另一个风险是攻击面。技能越标准化、分发越顺畅，恶意技能投毒的目标就越肥。MCPTox 基准的教训就在半年前：工具投毒攻击平均成功率 36.5%，对部分模型高达 72.8%。SHA-256 清单只能保证"文件没被篡改"，保证不了"技能本身是善意的"——审批流程和来源链才是真正的防线，而这恰恰是规范留给宿主的。

写在最后

至此，MCP 的三层能力模型第一次完整：resources 告诉 agent 它知道什么，tools 告诉它它能做什么，skills 告诉它怎么把前者组合着做好。协议层的拼图齐了，下一阶段的竞争转移到宿主——谁家的技能市场先跑出网络效应，谁就拿到了 agent 时代"应用商店"的入场券。对开发者来说，现在值得做的一件事很朴素：把自己团队里那些散落的 README 和提示词模板，按 skills 清单的格式整理起来。格式标准化从来都是生态爆发的前夜，这次不会例外。

参考来源

• BestHub：《MCP Protocol Gets Skills: Standardized Agent Workflows Now Built-In》（SEP-2640 定稿解读，2026-09）
• Model Context Protocol 官方规范（2026-07-28 修订版）及 Extensions 文档
• Informeek：《MCP Server Explained: 6 Safety Checks Before You Connect》（MCPTox 数据，CSA 研究报告 2026-07-01）
• AI Agent Store Daily（2026-09-19）：Microsoft Agent Framework 1.19.0 相关条目