MCP / Tool Use

阅读时间：15 分钟

1. 3 秒看懂

MCP / Tool Use 是 AI Agent 从“1 个模型回答”升级为“模型 + N 个外部工具执行”的接口层，2024-11 Anthropic 发布 MCP 后，2025 年 OpenAI Responses API 和 Agents SDK 已把远程 MCP server 纳入工具体系。123

投资含义不是“协议本身收费”，而是 2025-2028 年企业 SaaS、DevOps、数据平台和安全网关把 API、权限、审计和计量改造成 Agent 可调用接口后，软件收入从 seat-based 向 usage / workflow attach 迁移。378

2. 3 分钟产业解释

MCP（Model Context Protocol）把 AI 应用访问外部数据源和工具的过程拆成 3 层：host/client 负责对话与权限，server 暴露 resources、prompts、tools，transport 负责 stdio、Streamable HTTP 或兼容 HTTP 连接；这使 1 个 MCP client 可以发现并调用多个业务系统工具，而不是为每个 SaaS 单独写 1 套私有 connector。124

OpenAI Tool Use 是更宽的执行范式，Responses API 的 tools 参数覆盖 built-in tools、function calling、custom tools 和 remote MCP servers；因此“Anthropic MCP / OpenAI Tool Use 兼容”的产业判断应分成 2 个口径：MCP 是跨厂商协议，Tool Use 是模型厂和应用厂对工具调用、审批、回放和计费的产品化入口。35

2025 年以后，Cloudflare、Atlassian、Microsoft Windows、Salesforce Agentforce、ServiceNow AI platform 等公司把 MCP 或 tool-calling 接口嵌入边缘网络、协作软件、操作系统、CRM 和工作流系统，说明协议层已经从开发者实验转向企业权限和审计基础设施；但收入兑现仍要看 2026-2028 年 tool call 计量、AI SKU attach rate、agentic workflow 留存和安全事件率，而不是只看 GitHub stars 或 server 数。678910

3. 15 分钟专家深入

MCP / Tool Use 的核心变化是把传统 SaaS 集成的“人点 UI 或脚本调 API”改成“模型选择工具、host 审批、server 执行、系统记录证据链”。MCP 规范明确 server 可暴露 resources、prompts 和 tools，且 host 需要在用户同意前控制资源数据传输；OpenAI Responses API 则把工具调用放入统一 response lifecycle，并对 MCP tool approval 提供结构化输入输出。135

这条链的价值量主要落在 5 个环节。第一，模型平台获得更高 token 与 tool execution 使用量，OpenAI / Anthropic / Microsoft / Google 的增长变量从“单次问答”转向“多步执行”。第二，企业 SaaS 把 CRM、ITSM、代码、文档和 BI 暴露为可审计工具，Salesforce FY26Q4 Agentforce + Data 360 ARR 已超过 29 亿美元 [CRM] 且同比超过 200%，这是可观察的 AI workflow attach 口径之一。11 第三，云与边缘平台把 MCP server hosting、OAuth、policy、rate limit 和日志产品化，Cloudflare 2025-04 发布 remote MCP server 后，在 Q1 2025 call 中把 MCP 描述为 AI 访问 API 的标准方式。612 第四，安全厂商获得 prompt injection、tool poisoning、secret exfiltration 和 least-privilege policy 的新增预算。第五，开发工具与 observability 厂商把每 1 次 tool call 变成 trace、eval、rollback 和成本归因对象，Datadog FY2025 收入 34.27 亿美元、FCF 9.15 亿美元，具备把 agent telemetry 扩展成付费模块的财务底座。16

可算口径应避免把“协议采用”直接等同“新增 TAM”。较稳健的模型是：可服务收入池 = 已披露云/订阅收入 × AI workflow attach rate × MCP/Tool 可计费渗透率 × 净收入留存影响。例如 Microsoft FY2025 Microsoft Cloud revenue 为 1,689 亿美元，Salesforce FY2026 revenue 为 415 亿美元，ServiceNow FY2025 revenue 为 132.78 亿美元；若 2027E 三家公司 AI workflow attach rate 分别为 6%、8%、10%，且其中 30%、40%、45% 可由工具调用、连接器、安全审计或自动化执行计费，则可映射的“tool-enabled revenue”分别为 30.4 亿、13.3 亿、6.0 亿美元。11131415 这不是公司指引，而是把已披露收入基数转换成可跟踪 KPI 的情景算式。

4. 技术原理

MCP 的技术栈以 JSON-RPC 风格消息、capability negotiation、tool discovery、resource read 和 prompt retrieval 为核心，client 在初始化阶段协商协议能力，server 通过 tools/list 暴露可调用工具，模型或 host 再通过 tools/call 发送结构化参数并接收结果。12

传输层从 2024-11-05 的 HTTP+SSE 口径演进到 2025-03-26 的 Streamable HTTP，官方规范写明新传输替代 HTTP+SSE；2025-06-18 版本继续强调协议版本 header、向后兼容和授权边界，因此 2026 年企业落地的关键不是“能连上 1 个 server”，而是能否在 OAuth、scopes、audit log、rate limit 和 human approval 之间形成闭环。24

OpenAI Tool Use 的技术边界更宽，Responses API 支持 built-in tools、function calling、自定义工具和 remote MCP servers，Agents SDK 也提供 hosted MCP tool 与本地 MCP server 接入；这意味着应用厂可以同时支持 Anthropic MCP 标准和 OpenAI 工具调用产品面，但必须把工具 schema、权限、错误恢复和执行日志统一到 1 套治理层。35

5. 上游依赖 / 下游影响

上游依赖

• 模型工具调用能力：OpenAI Responses API 已把 remote MCP servers 放入 tools 入口，Anthropic MCP 规范已定义 tools/resources/prompts 3 类 server feature；若模型 tool selection 准确率低于人工 workflow 成功率 20pct 以上，企业会把 MCP 降级为只读检索。13
• 身份与授权：Streamable HTTP、OAuth、MCP-Protocol-Version header、approval response 和企业 IAM 是 2026 年量产门槛；若 1 个 agent 可跨 3 个系统调用高权限工具而无 least-privilege policy，安全预算会先于应用预算释放。245
• 观测与审计：每 1 次 tool call 至少需要 request、schema、approval、latency、cost、output 和 user attribution 7 类日志；Datadog、Cloudflare、Microsoft、ServiceNow 这类平台具备把日志变成付费模块的现有收入基础。12131416

下游影响

• 企业 SaaS：Salesforce、ServiceNow、Atlassian 把业务对象和 workflow 暴露为 agent tool 后，seat 扩张放缓的压力可由 usage、automation run 和 AI add-on 部分抵消；反证是 FY2026-FY2027 AI ARR 占比低于 5% 或 NRR 无改善。71011
• 云与边缘平台：Cloudflare remote MCP、Microsoft Windows MCP 和 OpenAI hosted MCP 会把 server hosting、connector registry、policy enforcement 和 audit trail 变成基础设施需求；反证是 MCP server 执行仍停留在本地开发机而无法进入企业 VPC / Zero Trust 边界。6812
• 安全软件：工具调用扩大 attack surface，prompt injection、tool poisoning 和 data exfiltration 会把 AI security 从内容过滤扩展到权限图谱；反证是 2026 年企业采购仍只购买 chatbot DLP 而不购买 agent runtime guardrail。17

6. 技术路线对比表

7. 关键指标（5-7 项 + 怎么追）

• Tool-call share：AI 请求中触发工具执行的比例，月度从 OpenAI / Anthropic / SaaS 平台开发者日志追踪；若 2026 年低于 10%，说明 agent 仍停留在问答层。35
• Remote MCP adoption：企业 remote MCP server 数、active client 数和 OAuth-enabled server 占比，季度从 Cloudflare、Atlassian、Microsoft、ServiceNow 发布会和开发者文档追踪；若 remote server 占比低于 local server，收入化会延后 4-8 个季度。678
• AI ARR / AI SKU attach：Salesforce FY26Q4 Agentforce + Data 360 ARR 已超过 29 亿美元 [CRM] 且同比超过 200%，ServiceNow 和 Microsoft 后续 AI SKU attach 是同类验证项；若 AI ARR 增速低于总收入增速 2 倍，估值重估会减弱。1114
• Approval / audit coverage：高权限 tool call 中带 human approval、policy decision 和 audit log 的比例，半年从安全白皮书、产品文档和客户案例追踪；若覆盖低于 80%，大企业会限制写操作。2417
• Latency and success rate：多工具 workflow 的 p95 latency、tool error rate 和自动恢复率，月度从 observability 平台和客户案例追踪；若 p95 超过人工操作时间 2 倍或错误率超过 5%，自动化 ROI 会被削弱。16
• Gross margin drag：AI 工具调用增加推理、检索和执行成本，需跟踪 Microsoft Cloud gross margin 69%、Cloudflare FY2025 GM 74.5%、Datadog FY2025 GM 80.0% 是否因 AI workload 承压；若 GM 连续 4 个季度下行，收入增长可能不转化为 EPS。121316
• Security incidents：prompt injection、tool poisoning、secret exfiltration 和 OAuth scope 滥用事件数，季度从安全研究和 CVE/厂商公告追踪；若 1 起高影响事故导致默认禁用 remote tool，MCP 渗透率会低于中性情景。17

8. 可算传导表

8.1 TAM → 出货 → ASP → 份额 → 收入 → 毛利 → PE → 估值

口径：这里把 TAM 定义为“可被 MCP / Tool Use 计费影响的已披露云与企业软件收入池”，不是协议软件单独市场规模；2027E 为情景推算，所有公司收入基数取最近已披露年度，估值口径取 2026-05-27 美股完整收盘。1113141522

8.2 公司弹性测算

9. 同业硬指标对比表

10. 投资逻辑 + 业绩传导

MCP / Tool Use 的投资主线是“AI 应用从内容生成走向软件执行”，2026-2028 年每 1 个可审计 tool call 都可能转化为 API usage、workflow run、security policy、observability trace 或 AI SKU attach；因此最先受益的不是单一协议维护方，而是拥有企业身份、业务对象、审计日志和计费入口的平台公司。361114

估值上，Microsoft 和 Salesforce 更像“收入基数 × attach rate”的低弹性大盘，ServiceNow、Datadog、Cloudflare、Atlassian 更像“workflow 深度 × usage 计费”的高弹性平台；反证指标是 AI ARR 无法独立披露、remote MCP server 缺少权限治理、tool call 成功率低于 95% 或 AI 推理成本压低 GM 超过 300bp。11121416

企业系统 API / 数据对象
        ↓
MCP server / Tool schema / OAuth scope
        ↓
Agent 触发 tool call × approval × audit log
        ↓
usage / workflow / security / observability SKU
        ↓
收入 × GM - 推理与运行成本
        ↓
EPS × PE = 情景市值框架 / 股价

11. 常见误读纠偏

误读 1：MCP 是 Anthropic 的私有护城河

实际情况：MCP 起点是 Anthropic 2024-11 发布的开放协议，但 OpenAI 文档已支持 remote MCP servers，Microsoft、Cloudflare、Atlassian 等公司也在 2025 年把 MCP 放入产品体系；协议开放会降低单一模型厂锁定，真正护城河转向身份、权限、业务数据和审计日志。13678

证据：MCP 官方规范定义 server feature 与 transport，OpenAI Responses API 和 Agents SDK 文档同时覆盖 hosted tools、function calling 与 MCP 接入，说明 2026 年兼容性方向强于私有化方向。135

误读 2：有 MCP server 就等于有收入

实际情况：MCP server 本身通常只是 1 个连接层，收入需要落到 usage、AI add-on、security gateway、observability trace 或 workflow automation；若 2027 年 tool call 无法单独计量或审批日志无法通过审计，MCP 只会变成免费开发者功能。31216

证据：Salesforce 已披露 Agentforce + Data 360 ARR 超过 29 亿美元 [CRM]，Cloudflare 把 remote MCP 与平台能力结合，Datadog可用 agent trace / telemetry 计费，说明收入化必须绑定既有商业 SKU。111216

误读 3：Tool Use 只增加收入，不增加成本和风险

实际情况：每 1 次工具调用至少增加模型推理、外部 API、日志存储、权限检查和错误恢复 5 类成本；同时 prompt injection、tool poisoning 和 secret exfiltration 会把安全边界从“模型输出”扩展到“模型能执行什么”。417

证据：MCP 规范在 resource 与 tool safety 上强调用户同意和控制，OpenAI Responses API 对 MCP approval response 进行结构化处理，安全研究也把 MCP/agent tool use 作为 2025-2026 年新增攻击面。1517

12. 最新事件

• [已发生] 2024-11-25：Anthropic 发布 Model Context Protocol，定位为连接 AI 应用与外部数据源/工具的开放标准，初始生态包括 Replit、Sourcegraph、Zed 等开发工具方向。1
• [已发生] 2025-03-26：MCP 规范引入 Streamable HTTP transport，并明确其替代 2024-11-05 的 HTTP+SSE transport，远程 server 进入企业部署路径。2
• [已发生] 2025-04-07：Cloudflare 发布 remote MCP server，并把 OAuth、边缘网络与 AI agent server hosting 作为产品化方向。6
• [已发生] 2025-05-01：Atlassian 发布 Jira / Confluence remote MCP server，强调从 Claude 等 MCP client 直接访问企业协作数据。7
• [指引] 2025-12-12：Microsoft Learn 更新 Windows MCP overview，强调用户/管理员可通过 Windows Settings 和 Intune 控制 MCP server 访问。8
• [已发生] 2026-05-15：Salesforce FY2026 Q4 业绩稿披露 Agentforce + Data 360 ARR 超过 29 亿美元 [CRM] 且同比超过 200%，为 AI workflow attach 提供可量化锚点。11

13. 来源 footnotes

1 Introducing the Model Context Protocol — Anthropic — 2024-11-25 — https://www.anthropic.com/news/model-context-protocol (B)

2 Transports, Model Context Protocol Specification 2025-03-26 — Model Context Protocol — 2025-03-26 — https://modelcontextprotocol.io/specification/2025-03-26/basic/transports (A)

3 Using tools, OpenAI API — OpenAI — 2026 accessed — https://platform.openai.com/docs/guides/tools?api-mode=responses (B)

4 Transports, Model Context Protocol Specification 2025-06-18 — Model Context Protocol — 2025-06-18 — https://modelcontextprotocol.io/specification/2025-06-18/basic/transports (A)

5 Model Context Protocol (MCP), OpenAI Agents SDK — OpenAI — 2026 accessed — https://openai.github.io/openai-agents-python/mcp/ (B)

6 Cloudflare Accelerates AI Agent Development With The Industry’s First Remote MCP Server — Cloudflare — 2025-04-07 — https://www.cloudflare.com/press-releases/2025/cloudflare-accelerates-ai-agent-development-remote-mcp/ (B)

7 Introducing Atlassian’s Remote Model Context Protocol (MCP) Server — Atlassian — 2025-05-01 — https://www.atlassian.com/blog/announcements/remote-mcp-server (B)

8 Model Context Protocol (MCP) on Windows overview — Microsoft Learn — 2025-12-12 — https://learn.microsoft.com/en-us/windows/ai/mcp/overview (B)

9 Agents, OpenAI API — OpenAI — 2026 accessed — https://platform.openai.com/docs/guides/agents (B)

10 ServiceNow Q3 2025 financial results — ServiceNow — 2025-10-29 — https://www.servicenow.com/in/company/media/press-room/third-quarter-2025-financial-results.html (B)

11 Salesforce Delivers Record Fourth Quarter Fiscal 2026 Results — Salesforce — 2026-05-15 — https://s205.q4cdn.com/626266368/files/doc_financials/2026/q4/CRM-Q4-FY26-Earnings-Press-Release.pdf (B)

12 Cloudflare Q1 2025 Earnings Call Transcript — Cloudflare / FactSet transcript — 2025-05-08 — https://cloudflare.net/files/doc_financials/2025/q1/CORRECTED-TRANSCRIPT_-Cloudflare-Inc-NET-US-Q1-2025-Earnings-Call-8-May-2025-5_00-PM-ET.pdf (B)

13 Microsoft 2025 Annual Report — Microsoft — 2025 — https://www.microsoft.com/investor/reports/ar25/index.html (A)

14 ServiceNow FY2025 Form 10-K / annual results extract — ServiceNow / SEC mirror — 2026 — https://www.marketscreener.com/news/servicenow-annual-report-for-fiscal-year-ending-december-31-2025-form-10-k-ce7e5bded18ef725 (A)

15 ServiceNow Reports Fourth Quarter and Full-Year 2025 Financial Results — ServiceNow — 2026-01-28 — https://www.nasdaq.com/press-release/servicenow-reports-fourth-quarter-and-full-year-2025-financial-results-board (B)

16 Datadog Announces Fourth Quarter and Fiscal Year 2025 Financial Results — Datadog — 2026-02-12 — https://investors.datadoghq.com/news-releases/news-release-details/datadog-announces-fourth-quarter-and-fiscal-year-2025-financial/ (B)

17 CSA Research Note on MCP RCE Design Vulnerability — Cloud Security Alliance — 2026-04-23 — https://labs.cloudsecurityalliance.org/wp-content/uploads/2026/04/CSA_research_note_mcp_rce_design_vulnerability_20260423-csa-styled.pdf (B)

18 Cloudflare Announces Fourth Quarter and Fiscal Year 2025 Financial Results — Cloudflare — 2026-02-05 — https://www.cloudflare.com/press-releases/2026/cloudflare-announces-fourth-quarter-and-fiscal-year-2025-financial-results/ (B)

19 Atlassian FY2025 Annual Report — Atlassian / SEC — 2025 — https://www.sec.gov/Archives/edgar/data/1650372/000165037225000060/team2025annualreport.pdf (A)

20 OpenAI Responses API Reference — OpenAI — 2026 accessed — https://platform.openai.com/docs/api-reference/responses/create?api-mode=responses (B)

21 Model Context Protocol specification and documentation repository — GitHub / modelcontextprotocol — 2026 accessed — https://github.com/modelcontextprotocol/modelcontextprotocol (B)

22 Market quote feed for MSFT/CRM/NOW/DDOG/NET/TEAM, 2026-05-27 16:00 EDT close; market cap = shares outstanding × close, PE = quote-feed TTM EPS multiple, currency = USD. Classification: 行情数据 (C)