昨天，我们让Agent通过SSH登录云服务器，查询状态、处理部署。看起来，一句话就能完成过去需要敲很多命令的工作。但接下来有个问题：如果它理解错了，连错机器、覆盖了文件，甚至把网页里的恶意提示当成指令，你能限制它做到哪一步吗？

今天这节课，我们不急着继续加功能。先把三件事分清楚：SSH让它连得上，MCP让操作变成明确的工具，Skill告诉它按什么流程做。最后，亲手写一个管理自己云服务的只读MCP，把“让AI操作”变成“让AI调用你允许的操作”。

SSH是连接和远程操作的工具。风险主要取决于Agent获得的账号权限、命令入口，以及你如何审查它的执行。

如果它拿到的是普通实验账号，影响范围与root账号不同；如果客户端允许它执行任意终端命令，就不只是“帮你看看网站”这么简单。

第一类是操作错误。它可能找错目录，把“清理旧版”理解为删除需要保留的文件，或者为了处理报错而修改不相关的配置。一条命令语法正确，不代表目标正确。

第二类是信息泄露。配置文件、日志、数据库连接信息可能包含凭证或内部资料。允许读取，不等于这些内容适合全部发送给模型、写入聊天或粘贴到公开问题中。

第三类是外部内容误导。Agent读取的网页、文件或日志可能夹带恶意指令。如果把这些内容当成新的授权，再叠加宽泛的执行权限，风险会扩大。

第四类是事后说不清。聊天里一句“已经处理好了”，不能说明连的是哪台主机、用的什么身份、改了什么，以及失败时如何恢复。

所以，问题不是“SSH不能用”，而是不能只靠一句“请小心操作”，就把过大的权限交出去。

MCP是AI应用连接工具与数据的一种标准协议。在这节课里，我们自己写一个本地MCP服务，把允许的云服务操作定义成工具。

直接SSH时，Agent可能自己拼接命令。经过我们设计的MCP后，它提交的是一个明确请求：查询身份、查询磁盘，或者查询网站服务状态。MCP程序检查参数，再执行固定动作，返回结果。

这条链路变成：Agent提出请求 → MCP检查工具与参数 → SSH连接指定主机 → 返回执行结果。

关键改变是缩小入口。第一版工具不接收任意命令，不让模型临时指定服务器地址，也不接收任意文件路径。

但MCP不是装上就安全。如果工具叫“执行任意命令”，参数又直接拼进Shell，那么危险能力仍然存在，只是换了一个调用方式。

还有一个经常被忽略的条件：如果Agent仍保留原来的终端和SSH权限，它可能绕开MCP直接执行。因此，真正的边界要由客户端工具权限、MCP实现和服务器账号权限共同落实，不能只靠协议名称。

Skill用于把特定任务的知识和操作流程组织成可复用资料。常见形式是一个包含SKILL.md的目录，也可以带脚本、参考资料和模板；能否识别和加载，要看所用客户端。

在这节课里，Skill可以告诉Agent：先查询目标身份，再看磁盘和服务状态；查询失败先报告，不擅自重装；最后把证据和结论一起交给用户。

可以这样理解：Skill提供“怎么做”的流程，MCP提供“通过什么工具做”的接口，账号和系统权限限制“实际能做到哪里”。

它们可以配合使用，也可以独立使用。Skill里可以调用已有工具或脚本，并不一定需要MCP。写了Skill，也不会自动禁止Agent执行其他命令。

一句“禁止删除其他网站”放在Skill里，是操作要求；要让越界操作真正失败，还需要工具校验与系统权限。

这节课采用本地stdio方式。AI客户端在你的电脑上启动MCP程序，程序再通过SSH连接自己的火山引擎实验服务器。第一版不用把MCP发布到公网。

我们先把“管理云服务”缩成三个只读检查：确认主机和执行身份、查看根分区用量、查询Nginx服务是否运行。它不创建付费资源，也不修改安全组和网站配置。

工具命名为cloud_check，check参数只允许三个值：identity、disk、web_status。这些是本课自己定义的工具与参数，不是火山引擎官方API。

主机来自本地受保护配置中的SSH别名，不能由模型随请求更换。具体命令由程序固定选择，不提供command或path参数。

查询Nginx的示例针对使用systemd且服务名为nginx的实验环境。你的环境不同，先核对并调整固定检查，不要为了省事开放任意命令入口。

代码可以让AI协助完成。你需要看懂工具有哪些输入、连接谁、能执行什么，以及返回哪些证据。

配套代码页提供server.py、依赖文件和使用说明。起始模板固定使用MCP Python SDK 1.26.0的v1接口，不代表它是最新版本；如果选择其他版本，需要成套更新并重新验证。

先在项目中建立Python虚拟环境，再安装模板依赖。不同操作系统的解释器路径不同，不要直接复制别人的绝对路径。

接着使用虚拟环境里的Python执行pip install -r requirements.txt。Windows通常使用.venv/Scripts/python.exe，Linux和macOS通常使用.venv/bin/python。

课前先配置好SSH别名，确认自己能连接正确主机，核对主机指纹。不要为了让演示跑通而关闭校验，也不要在直播中展示真实私钥。

在支持本地MCP的客户端中填写解释器路径、脚本路径和必要的环境配置。下面只是启动结构示意，外层配置按客户端说明填写。

加载后先看工具列表，确认真的出现cloud_check，再让Agent查询identity。你要核对返回的主机和执行身份，而不是只看它总结的“连接成功”。

然后查询disk和web_status。服务未运行、连接超时、认证失败，都应该如实返回，不能自动改写成“运行正常”。主机名和用量也可能属于内部资料，传给模型前要知道输出范围。

这里用SSH管理服务器，与通过云平台API购买实例、修改云资源是不同操作。以后接入云API，也要按动作分别设计权限，不把一个身份当成全部产品的万能钥匙。

当工具能用之后，再为支持Skill的客户端增加“云服务巡检”流程。

注意：这份Skill会指导操作顺序，但不是强制权限策略。如果需要保证“身份未核对就不能继续”，应把这个状态检查也实现到工具或控制层。

先让Agent按这个流程完成一次巡检，再试着请求一个模板没有的动作，例如删除文件。客户端确实移除了其他命令入口、工具也拒绝该操作，才说明本课设计的边界开始发挥作用。

前5分钟回看直接SSH的方式；10分钟讨论风险；10分钟讲清MCP边界；8分钟区分Skill与权限；20分钟创建、接入并调用MCP；最后7分钟做越界验证、答疑和作业。

课前完成Python环境、实验账号和SSH连接准备。现场不等待购买和审核，也不连接生产服务器。

本课验收：客户端能列出工具；三项查询能返回真实结果或清楚的失败；任意主机、命令和路径不能作为工具输入；知道Skill与权限的区别；知道Agent是否仍有绕过MCP的终端入口。

作业是保存一份脱敏巡检记录，说明“哪个结果支持哪个结论”。完成只读检查后，再在独立实验环境增加有备份、确认和回滚机制的发布工具，保留上一课网站，为第三课OpenCart与MySQL准备好环境。

MCP架构说明

MCP安全实践

Agent Skills说明

MCP Python SDK

本课代码与使用说明

资料核对日期：2026年10月27日。起始代码的本地协议测试与模拟SSH测试不代表已完成真实云服务器验收；实操仍需核对自己的账号、系统、目标和工具权限。

我是 {{作者名}}，{{简介}}