--- title: "MCP 發布新路線圖：agent 身分與企業安全列為五大優先領域之一" url: https://xcube.enlightcorp.com.tw/zh/news/mcp-new-roadmap-agent-identity-enterprise-security category: "Agent 協定 / 標準" source_type: official published: 2026-08-22 updated: 2026-08-22 lang: zh-TW --- # MCP 發布新路線圖：agent 身分與企業安全列為五大優先領域之一 發布 2026-08-22 · 更新 2026-08-22 · 官方發布 · 來源: [Model Context Protocol Blog](https://blog.modelcontextprotocol.io/posts/mcp-roadmap/) **重點答案:** MCP 新路線圖是 Model Context Protocol 核心維護者於 2026 年 8 月 22 日公布的下一階段規格方向，重點是讓沒有人在場的雲端 agent 能以 DPoP、Workload Identity Federation 與標準 token exchange 取得可驗證身分，取代貼上 API key 與長效 token 的做法。 Model Context Protocol（MCP）核心維護者 David Soria Parra 與 Den Delimarsky 於 2026 年 8 月 22 日發布新版路線圖，作為 2026-07-28 規格之後下一個規格版本的方向。路線圖分成五個優先領域，每個領域都有負責的核心維護者與工作小組。 五個領域分別是：agentic messaging primitives（伺服器主動事件如 webhooks 與 channels、成熟化 Tasks 擴充）；HTTP 原生傳輸統一（把本機伺服器等部署模式也收斂到 HTTP 類傳輸）；agent 身分與企業安全；改良 primitives（統一工具結果的處理契約，並啟動漸進式工具探索，避免連上一個有上百個工具的伺服器就先付出整份工具清單的 token 成本）；以及 SDK 開發體驗與規格一致性測試。 對企業最關鍵的是身分這一項。路線圖指出，目前 MCP 授權是以「有人在瀏覽器按同意」為前提設計，但越來越多呼叫者是以自身身分運作的雲端工作負載、代表不在場使用者的 agent，或再把較窄權限委派給 sub-agent 的 agent。維護者計畫推動 DPoP（Demonstrating Proof of Possession）、Workload Identity Federation 與標準 token exchange，並持續參與 IETF OAuth 等標準組織。 需要注意的是，這是路線圖而非已定案規格：文中沒有給出下一版的發布日期，SEP（規格提案）仍須經過工作小組審查。治理面同時更新：正式採用 Contributor Ladder、工作小組可自行分流審查 SEP，並建立功能生命週期與棄用政策；落在優先領域內的 SEP 會優先審查。 路線圖也回顧了上一個週期已交付的成果，說明這些優先項目的出發點：協定層 session 與初始化握手已移除，伺服器可水平擴充而不必保存狀態；新增 server/discover 讓用戶端事先取得支援版本與能力；清單結果可快取；授權面完成 issuer 驗證、綁定 issuer 的用戶端憑證，並以 Client ID Metadata Documents（CIMD）作為用戶端註冊的首選路徑。在工具結果方面，路線圖點出一個實際痛點：同一個工具回應可以用多種形式承載相同輸出，伺服器開發者無從得知用戶端會把哪一種形式交給模型，因此要統一成單一明確的契約。 後續要看的是 agent 身分相關 SEP 的實際內容與時程，以及主要 MCP 用戶端、閘道與身分供應商何時支援 DPoP 與 token exchange。 ## X Cube 觀點 自建 MCP 伺服器或閘道的企業，現在就該避免把長效 API key 寫進 agent 設定，改以短效、可撤銷、綁定工作負載身分的憑證為方向；同時把工具清單規模當成成本與準確度問題管理，因為漸進式探索尚未標準化前，工具越多，每次對話的 context 開銷越大。 Tags: MCP, Agentic AI, Roadmap, Security, Agent Identity, OAuth, Model Context Protocol (MCP), DPoP, Workload Identity Federation, IETF OAuth Working Group, MCP Tasks extension