获课：yinheit.xyz/18180/

从“单体智能”到“组织智能”：多智能体工程的技术底座与协议分层

企业级AI应用正在经历一次架构层面的根本转变：从“一个模型完成所有任务”的单体模式，转向“多个专业智能体协同完成复杂交付”的组织模式。这个转变的技术支撑，由四个正在快速成熟的基础设施组件共同构成：DeepAgents提供智能体运行所需的“组织架构”，MCP解决智能体与外部能力的连接问题，A2A解决智能体之间的协作问题，Skills则将领域知识封装为可复用的能力单元。

DeepAgents：智能体的“操作系统”与上下文工程

LangChain对Deep Agents的定位是“agent harness”——智能体封装层，其设计目标是解决一个核心工程问题：如何在有限的Token预算内，让智能体处理需要长时间运行的复杂任务-3-9。

传统Agent框架的瓶颈不在模型能力，而在上下文管理。当一个研究任务需要调用数十次搜索、读取大量文档、生成多轮中间结果时，上下文窗口会被迅速填满。Deep Agents的解法借鉴了操作系统的设计思路：引入虚拟文件系统，让智能体将大块中间结果“写入”文件而非全部保留在上下文中，需要时再按需读取。子代理机制则允许主智能体将研究、编码、审查等任务委派给独立的子代理，每个子代理在自己的上下文中运行，只将最终结果返回主代理，从而避免主上下文被“污染”-2。

Skills在这个架构中扮演“领域知识包”的角色。每个Skill是一个包含SKILL.md文件的目录，智能体在启动时只加载Skill的名称和描述元数据，当任务需要时才读取完整内容。这种“渐进式披露”的设计，使得智能体可以携带大量专业能力而不占用启动时的上下文预算-4-10。

MCP：智能体的“手”与工具的标准化接入

如果DeepAgents是智能体的“大脑”和“组织架构”，MCP就是智能体伸向外部世界的“手”。Model Context Protocol由Anthropic在2024年11月提出，解决的是一个此前需要为每个工具-模型组合编写定制集成代码的问题。在MCP之前，让五个Agent访问十个工具意味着最多五十个定制集成，每个都是一份维护负担-18。

MCP的架构是client-server模式：MCP服务器暴露一组工具、资源和提示词，任何符合规范的客户端都可以调用。到2026年中，社区已经构建了数千个活跃的MCP服务器，OpenAI、微软和Google DeepMind都采用了这一协议。阿里云开发者社区的技术分析给出了一个精炼的判断：MCP更偏向AI-工具通信，解决的是智能体接入外部能力的问题-13。

A2A：智能体的“同事”与跨组织的协作协议

MCP解决了“一个Agent如何伸手够到工具”，但当一个采购Agent需要财务Agent批准付款时，MCP无法处理这个对话。财务Agent不是一个可以被“调用”的工具，它是一个具有自己推理能力、访问控制和拒绝权利的独立行动者。这是水平方向的问题，需要不同的协议-18。

A2A（Agent-to-Agent Protocol）由Google在2025年4月提出，现已捐赠给Linux基金会，由AWS、Cisco、Google、IBM、微软、Salesforce、SAP和ServiceNow组成的TSC维护。A2A v1.0的核心机制是Agent Card：每个智能体发布一个描述自身能力、联系方式和认证方式的结构化卡片，其他智能体读取卡片后决定是否委派任务-5-11。

两者的分工可以用一句话概括：MCP是“Agent如何接触到它需要的系统”，A2A是“两个不共享代码库的Agent如何一起工作”-18。

企业级部署的安全现实

多智能体系统的生产化部署面临一个不可回避的安全约束。MCP和A2A共享一个根本性的攻击面：它们都将不受信任的文本移入一个可以行动的模型中，这意味着所有关于提示注入的已知风险都适用于两者-7。

MCP的主要攻击向量是“中毒的工具描述”——恶意或被篡改的MCP服务器描述可以驱动企业Agent泄露数据。Trend Micro统计到492个面向互联网的MCP服务器完全未开启认证，BlueRock Security扫描的7000多个服务器中约37%存在SSRF暴露风险-7。

A2A的主要风险则集中在身份层面。Agent Card是信任的起点，在v1.0之前，任何人都可以发布声称任何能力的卡片。伪造的卡片可以将委派工作重定向到攻击者，或将注入内容走私到受害Agent的上下文中。v1.0引入的签名卡片机制（JWS + JSON Canonicalization）不是可选的加固步骤，而是信任模型本身-5-7。

安全控制的共识正在形成：工具描述固定（pin）使得静默篡改会触发检查失败而非直接执行；凭证保留在网关层而非下发到Agent；任何不可逆的操作都需要人工批准-7。

协议分层的工程意义

一个常见的认知错误是将MCP和A2A视为竞争标准。它们服务于不同的架构层级。MCP处理垂直集成——一个Agent深入到它需要的系统中去；A2A处理水平协作——多个Agent在组织边界和框架边界之间发现、通信和委派任务-11-18。

这个分层决定了企业级多智能体系统的构建顺序。一个合理的起点是：先用MCP让单个Agent具备工具调用能力，解决“一个Agent能做什么”的问题。当业务需求要求跨越团队边界、框架边界或供应商边界时，再引入A2A解决“多个Agent如何协作”的问题。 如果发现自己正在编写一个“协调其他Agent的MCP服务器”，那就是走错了层——那是A2A的职责，继续走只会积累技术债-7。

DeepAgents、MCP、A2A、Skills这四个组件的组合逻辑，本质上是在回答同一个问题：当智能体需要像人类组织一样协作完成复杂交付时，支撑这种协作的基础设施应该长什么样。 答案正在从分散的、定制化的集成代码，收敛为一组有明确分层、有中立治理、有企业级安全模型的开放协议。