2024 年 11 月，Anthropic 在一个周二下午安静地发布了一份 47 页的协议规范，叫 Model Context Protocol，解决一个看起来很窄的问题：AI 应用接外部工具，每家都要写一遍定制集成。十六个月后，这份规范有了 9700 万次月度 SDK 下载、上万个公开服务器，OpenAI、Google、微软全线接入，Anthropic 还把它捐给了 Linux 基金会——一个协议用十六个月走完了 HTTP 用十年的路，而它自己一分钱许可费都不收。那么问题来了：协议不收租，谁在收租？本篇是大模型投资地图 L3 通道层的第三篇：沿着 Agent 的三层基建——协议、沙箱、记忆——逐层找出那个真正站在收费位置上的角色。
先摆数字。MCP（Model Context Protocol）2024 年 11 月由 Anthropic 发布时，是一份 47 页的 JSON-RPC 规范，解决的是每个做 AI 应用的团队都头疼的「N×M 集成问题」：10 个 AI 应用接 100 个外部工具，按老办法要写 1000 套定制连接器。MCP 把它压成一套标准接口——工具方写一次实现，所有兼容的 agent 都能直接调用，业界叫它「AI 的 USB-C」。
先把这句黑话翻译成互联网时代的语言。MCP 就是给 AI 用的「开放平台」。当年的逻辑是这样的：淘宝开放一组 API，外部开发者就能程序化地查商品、下订单——但每个平台各定各的数据格式，接一个平台就得写一套代码，接十个平台写十套。MCP 把这件事标准化了：任何应用（GitHub、Slack、Postgres、你公司的内部数据库）只要按 MCP 格式写一个「服务器」（MCP server），就等于向全世界所有的 AI 开放了自己的功能；任何 AI 应用（Claude Desktop、Cursor）只要内置一个「客户端」（MCP client），就能调用所有这些服务器。类比可以完整对应上：HTTP 之于网站，就是 MCP 之于 AI 工具；浏览器之于「上网」，就是 Claude 与 Cursor 之于 MCP——你不需要为每个网站单独装一个软件，有浏览器就够了。
落到具体使用，只有三步。第一步，工具方写 server：GitHub 官方维护着一个 MCP server，暴露「建 issue、开 PR、查代码、触发 CI」这些动作；Postgres 的 server 暴露「查库、跑查询」；Stripe 的 server 暴露「查账单、做退款」。这些 server 集中登记在公共注册表里，像一个个待安装的插件。第二步，用户添加：在 Claude Desktop 或 Cursor 的设置里填一行 server 地址，或从注册表里点一下安装——体验上与在手机上装一个 App 没有区别。第三步，自然语言调用：之后你对 Claude 说「帮我把这个 bug 建成 issue 并分给老张」，它就会直接调用 GitHub 接口完成操作——不需要截图发给 AI 看、不需要复制粘贴，agent 直接在你的系统里动手。前面说的「集成工时从 18 小时降到 4.2 小时」是工具方视角的数字；对使用者来说，变化是从「复制粘贴喂给 AI」变成了「AI 直接上手做」。
十六个月后的成绩单：月度 SDK 下载 9700 万次（发布时约 10 万次，16 个月增长近千倍；对照物是 React——npm 生态用三年才到 1 亿月下载）；公开服务器注册量从 2025 年一季度的约 1200 个涨到 2026 年二季度末的 9400 个以上，连续三个季度环比增速 58%；GitHub 上带 mcp-server 标签的仓库超过 1.5 万个。企业侧，Forrester 2026 年 2 月的调查显示 70% 的大型 SaaS 厂商已经提供或把 MCP server 列入公开路线图；另有调查显示 78% 的企业 AI 团队至少有一个 MCP 支撑的 agent 在生产环境运行——一年前这个数字是 31%。接入一个新工具的平均工时，从 18 小时降到 4.2 小时。
最后一句是本篇的第一个判断，也是它与系列前几篇的接缝：DR.008 说推理 Infra 在涨，DR.009 说路由在涨，而协议层的增长曲线比两者都陡。Agent 的爆发不是从模型能力开始的，是从协议标准化开始的——当接入成本从 18 小时压到 4.2 小时，能被 agent 自动执行的「有用工作」的种类就不再受开发者产能限制。这是基建先行于应用的又一次重演。
MCP 的崛起路径可以概括为三步棋，每一棋都值得逐帧看。
第一步：开放规范。Anthropic 以 Apache 风格的开放条款发布协议，附参考实现。此时它是「Anthropic 的协议」，企业采购有顾虑——把基础设施建在竞争对手的协议上？第二步：捐赠治理。2025 年 12 月，Anthropic 把 MCP 捐给新成立的 Agentic AI Foundation（AAIF）——Linux 基金会旗下的定向基金，与 OpenAI、Block 共同创立，AWS、Google、微软、Cloudflare、Bloomberg、Snowflake 以铂金会员加入，成员一度达到 146 家。协议从此由 steering committee 治理，Anthropic 失去了单方面修改规范的权力。第三步：全员接入。治理中立化的疑虑消除后，接入潮涌来：OpenAI 在 ChatGPT、Agents SDK、Responses API 全面支持 MCP；Google 接入 Gemini；微软把它接进 Copilot Studio、VS Code 和 Windows 11；JetBrains、Cursor、Windsurf 跟进。当所有主要平台都说同一种工具协议，工具开发者的选择只剩一个：写一次，到处用。
这三步棋的深意，用过本系列已经建立的分析框架就能看穿：Anthropic 做了一次教科书级的「用所有权换中立性」交易。DR.007 里 Scale AI 被模型厂商收购、裁判资格即刻吊销；DR.009 里 OpenRouter 靠「永远不会被球员收购」赚中立溢价——而 Anthropic 走了第三条路：主动把裁判证上交。协议本身不收费、治理交给竞争者们共管的基金会，换来的是「Claude 生态永远是 MCP 事实标准的发源地」这个不可撼动的位置，以及 Claude 系产品对 MCP 生态最深的工程理解。协议免费，生态收租——收租的位置不在协议上，在协议养出来的相邻层。
Agent 要干活就要执行代码，执行别人写的（或自己生成的）代码就需要隔离环境——沙箱是 Agent 基建里最「重资产」的一层，也是竞争最白热化的一层。2024 年 3 月，E2B 每月运行 4 万个沙箱；一年后，这个数字是 1500 万——375 倍的年增长，是「agent 从问答演示变成会写代码的程序」这件事最直接的基建投影。三个头部玩家的打法截然不同：
先回答一个更基本的问题：为什么 agent 应用需要沙箱，而且需要外包给别人做？因为 agent 生成的代码是不可信的代码。让 Claude 帮你写一个数据分析脚本，它可能写出死循环；让 agent 自动处理工单，攻击者可以通过一句话注入诱导它执行恶意命令。这些代码不能直接跑在你的电脑或公司服务器上——一个删库命令就是真实事故。所以行业惯例是：把代码丢进一个一次性的隔离环境里运行，跑完销毁，出了任何问题都与主系统无关。这就是沙箱。
那为什么不自己搭，要外包？因为「做沙箱」和「做 agent 产品」是两门完全不同的工程。一个生产级沙箱要解决四件难事：毫秒级的启动（agent 每个任务都要新环境，等 60 秒用户早走了）、快照与恢复（agent 装过的环境要能存下来复用）、多租户的安全隔离（一万家客户的代码互相不可见）、以及海量并发下的调度与利用率（否则成本压不下来）。OpenAI、Anthropic 这样的头部玩家选择自建——OpenAI 的 Agents SDK 自带沙箱，底层是自研的隔离基建，因为它们的规模足以摊薄这笔工程投入。但绝大多数 agent 应用公司不该做这个选择：你的核心竞争力是产品，不是容器编排。这和互联网时代一模一样——没有几家创业公司自己建机房，因为 AWS 已经把机房做成了水电。沙箱公司赌的正是这个位置：agent 时代的云服务器。E2B 客户名单里 88% 的财富 100 强有注册，说明这个「外包沙箱」的需求在大公司同样存在——自建的主力玩家之外，永远有溢出场景（突发并发、GPU 任务、海外节点）需要购买。
壁垒也就清楚了，由低到高三层：跑起来容易（开源工具一周就能搭个原型），跑得快、跑得稳、跑得便宜很难——冷启动压到亚秒、快照秒级恢复、多租户利用率优化，每一项都是数年的工程积累；最上面一层是信任，企业把「任意生成的代码」放进你的环境，卖的是安全审计记录与合规资质（SOC 2、ISO 27001），这层壁垒用钱和时间都很难速成。
| 维度 | E2B | Modal | Daytona |
|---|---|---|---|
| 隔离技术 | Firecracker microVM（每沙箱独立内核，AWS Lambda 同款） | gVisor（用户态内核，Google Cloud Run 同款） | 容器运行时（曾全开源可审计自托管） |
| 冷启动 | 第三方测试最快（端到端约 0.5 秒） | 独立测试约 56-65 秒（全引导） | 宣称 sub-90ms，实测 2-5 秒（口径之争） |
| GPU | 无（Firecracker 不支持 PCIe 直通） | 全线支持（T4 至 B200），H100 约 $3.95/时 | 全线支持 |
| 定价 | $0.0504/vCPU 时 + $0.0162/GiB 时 | 约高 40%（换 GPU 与全平台） | 与 E2B 基本同价 |
| 开源 | 运行时 Apache-2.0 可自托管 | SDK 开源、引擎闭源 | 2026.6 转闭源（核心冻结 v0.190，社区分叉 Nightona 接棒） |
| 资本与客户 | $21M A 轮（2025.7）；财富 100 强 88% 有注册；Perplexity/HF/Groq/Vercel | $355M C 轮 @$46.5 亿（2026.5）；年化收入 $3 亿+ | $24M A 轮（FirstMark，2026.2）；GitHub 71,700 星；Cursor 官方支持自托管 |
三个细节比表格更有信息量。其一，客户的重合暴露了分层：E2B 的客户名单（Perplexity、Hugging Face、Groq、Vercel）全是「不做沙箱的 AI 公司」——沙箱是它们的外包能力；而 Modal 的定位是「Python 团队的 GPU 无服务器云，沙箱只是其中一个原语」——它卖的是整条 GPU 工作流，沙箱只是入口。其二，计费模式的分歧其实是客户结构的分歧（下一章展开）。其三，Daytona 的闭源转折是本层最重要的单一事件：2026 年 6 月，Daytona 把核心开发转入私有代码库，公开仓库冻结在 AGPL 的 v0.190，托管服务与企业 BYOC 继续——社区当月分叉出 Nightona 接棒开源。这家以「完全开源、可审计自托管」为卖点的公司，在拿到 A 轮一年后闭了源。这与 DR.007 的中立性命题形成又一次呼应：开源基础设施公司在规模化的门口，几乎必然面临「开源获客」与「闭源变现」的岔路选择——Daytona 选了闭源，E2B 还在开源，Modal 从未开源。三种选择，三种估值逻辑：Modal 用 46.5 亿美元证明了「闭源+全平台」的资本定价，Daytona 赌的是企业级可控性的付费意愿。
沙箱层有一场没有硝烟的战争，打的不是隔离技术，是计量的表。市场默认的计费方式是「墙钟时间」——沙箱开着就计费，哪怕你的 agent 90% 的时间在等大模型返回。E2B、Modal、Daytona 都按墙钟收费。而 2026 年入场的新玩家（Vercel Sandbox、Cloudflare Sandbox、Fly Sprites）开始按「实际 CPU 消耗」计费——agent 等待时不收费。
这个差异的量级超乎直觉。一个「大量时间在等待模型响应」的编码 agent，同样一小时的等待型工作，按实际 CPU 计费约 0.017 美元，比墙钟计费的同类方案便宜 2.6 到 19 倍。反过来，一个真正 CPU 密集的 agent（本地跑编译、跑测试），墙钟计费反而可能更划算。选择哪种计费，本质上是在赌客户工作负载的「忙闲比」。
更深一层，计费模式暴露了各家对「Agent 会长成什么样」的不同下注：押墙钟的（E2B/Modal/Daytona）赌的是重负载 agent——agent 越来越多地在沙箱里持续工作（编译、测试、数据处理），闲等占比下降；押实际负载的（Vercel/Cloudflare/Fly）赌的是海量轻 agent——成千上万个事件驱动的小 agent，绝大部分时间在睡，被调用时秒级醒来。两种赌注都能找到证据，市场最终可能两者并存——就像 DR.008 里「重负载托管」与「轻量化 Serverless」的并存。给使用者的实操结论：把自己工作负载的忙闲比算清楚再选供应商，闲比高的团队换计费模式省下的钱，比换供应商省下的钱多得多。
回看第一章末尾留下的安全缺口：14+ 个 CVE、20 万实例的 RCE 暴露面、普遍只有 API key 级认证、写权限极大（数据库、代码执行、文件系统）却几乎无审计。把 2026 年的 MCP 生态类比成 2012 年的 REST API 世界是准确的：大爆发、安全参差、然后必然到来的是一波迫使全行业标准化的安全事件——REST 世界用了 OAuth 2.0 和 TLS 的全面普及走完这条路，MCP 世界的对应物已经在路上：AAIF 的安全工作组、2026 路线图里的 OAuth 2.0 集成与 Server Cards（描述 server 能力、安全姿态、数据政策的结构化元数据——可以理解为 MCP server 的「安全审计报告」标准化）。
为什么说这是「下一个收租位」？因为安全是 Agent 基建三层里唯一还没有明确赢家的层：协议层赢了（MCP，免费）、沙箱层有三强（E2B/Modal/Daytona）、记忆层玩家分散，而「让企业敢把写权限交给 agent」的信任层——认证、权限模型、审计、合规——现在是一片真空。谁在 Server Cards 与企业治理标准成型时占据位置，谁就复刻 Cloudflare 在 REST 时代的位置：不是协议的发明者，是所有人过路时必须缴费的关卡。这在记忆层同样成立：跨会话记忆意味着 agent 的「经验」存在你这里——这是比沙箱更深的数据绑定。
| 判定 | 信息 | 理由 |
|---|---|---|
| 信号 | 月 SDK 下载 9700 万、server 连续三季 +58%、78% 企业 AI 团队有生产 MCP agent | 三方独立口径（注册表、GitHub、企业调查）互相印证；协议采用速度超过模型本身采用速度 |
| 信号 | 2025.12 Anthropic 将 MCP 捐给 Linux 基金会旗下 AAIF（OpenAI/Block 共创，AWS/Google/微软/Cloudflare 铂金） | 不可撤销的所有权让渡：换来的全员接入正在发生——这是「用所有权换中立性」的正面教科书案例 |
| 信号 | E2B 年增 375 倍、Modal 年化收入 3 亿美元 @$46.5 亿估值、Forrester 70% 大型 SaaS 跟进 MCP | 资本与收入的双重验证：沙箱与协议层的需求由企业预算而非补贴支撑 |
| 信号 | 安全缺口（14+ CVE、20 万实例暴露、认证普遍薄弱）+ AAIF 安全工作组与 Server Cards 路线图 | 缺口与补缺口的机制同时在位——安全层的标准化窗口正在打开 |
| 噪音 | GitHub 星标对比（Daytona 71,700 vs E2B 13,988） | 仓库口径不同（平台全家桶 vs 沙箱运行时），星标反映传播力而非采用量 |
| 噪音 | 冷启动毫秒级宣传（sub-90ms 等） | 厂商测「沙箱对象返回」时间，独立测试测「首命令执行」或全依赖引导——口径差一个数量级 |
| 噪音 | 记忆层创业公司的「agent 记忆」叙事 | 跨会话记忆的需求真实，但与模型自带的长上下文、检索增强的边界尚未清晰；商业模式未经验证 |
投资映射上，这个赛道的公开市场标的同样稀缺，但有三个可操作的观察位。其一，Linux 基金会治理模式的标准公司类比：MCP 复制的是 Kubernetes 的路径——而 Kubernetes 时代最大的公开受益者不是协议发明者（Google），是把发行版做成企业服务的 Red Hat 类公司。Agent 基建的「Red Hat 位置」目前空缺，沙箱与安全层最有可能先出现。（先把 Kubernetes 说清楚：它是 Google 在 2014 年开源的「容器调度系统」——如果把打包好的应用比作集装箱，Kubernetes 就是整个自动化码头：几千上万个集装箱放哪条船、哪个坏了自动换新、忙不过来自动加船，全靠它调度。Google 把自己内部用了十几年的同类系统开源并捐给 Linux 基金会，与 MCP 捐给 AAIF 是同一个剧本。Red Hat 类公司则是开源世界的商业模式范本：软件本身免费，靠「帮你装好、帮你维护、出事有人管」的企业级订阅收费——Red Hat 靠这套模式被 IBM 以 340 亿美元收购；Kubernetes 时代最大的商业赢家也不是发明者 Google，而是把 K8s 打包成企业发行版（OpenShift）的公司。）其二，云厂商：AAIF 铂金名单（AWS/Google/微软/Cloudflare）本身就是「agent 基建流向哪里」的答案——企业 MCP 流量最终落在这些云上，MCP 越普及它们的计算与网络收入越受益。其三，反向指标：Daytona 闭源后的社区迁移数据（Nightona 的采用）是「开源信任」在基建层还值多少钱的直接实验；Muse Spark 式的闭源反转若在基建层重演（E2B 闭源？），则整个「开放换中立」的逻辑链需要重估。
MCP 的故事讲完，回到标题的问题：MCP 之后谁收租？答案已经清楚——不是 MCP 自己。Anthropic 把它做成了公益品，换来了 Claude 生态在 agent 时代的地基位置；真正的租约签在三个相邻层：沙箱按秒向每一个 agent 的每一次代码执行收费，安全层将向每一家想把写权限交给 agent 的企业收「信任税」，而路由层（DR.009）继续向每一次模型选择收分流费。
这个结构对投资者的启示是一条简单的筛法：评估任何 Agent 基建公司时，问三个问题——它的收入是否随 agent 数量线性增长（而不是随模型能力增长）？它的位置是否与任何一家模型厂商的利益冲突？它收取的费用是否对应一个企业无法自建的工程能力？三问皆「是」的，站在这张地图的收费位置上；有任何一问是「否」的，它只是这张地图上的过路者。
大模型投资地图的 L3 通道层，至此铺完三块砖：路由（DR.009）、推理（DR.008）、Agent 基建（本篇）。下一块砖在更上游：预训练数据的版权战与数据枯竭——当「喂给模型的东西」本身开始收费，粮食层的战争将决定链主们的下一个十年。
| 玩家 | 层级 | 定位一句话 | 关键数据（2026） | 判定 |
|---|---|---|---|---|
| MCP / AAIF | 协议 | Agent 的工具标准：「AI 的 USB-C」，Linux 基金会治理 | 9700 万月 SDK 下载；1 万+ server；Forrester 70% 大型 SaaS 跟进；AAIF 146 成员 | 不收租的位置，收生态位：事实标准+治理中立性 |
| E2B | 沙箱 | 专用 Agent 沙箱云：Firecracker microVM、开源可自托管 | 月沙箱 1500 万（年增 375 倍）；$21M A 轮；财富 100 强 88% 注册；无 GPU | 沙箱参照物；短板在长时任务与 GPU |
| Modal | 沙箱+GPU | Python 无服务器 GPU 云，沙箱是原语之一 | $355M C 轮 @$46.5 亿；年化收入 $3 亿+；GPU 全线 T4-B200 | 定价高 40% 换 GPU 与全平台；闭源引擎 |
| Daytona | 沙箱 | 开源开发环境平台（2026.6 核心转闭源） | $24M A 轮；GitHub 71,700 星；SOC 2 Type I + ISO 27001；H100 $3.95/时 | 闭源转折的实验体：企业可控性付费意愿 vs 开源信任，Nightona 分叉是观察窗口 |
| Fly Sprites | 沙箱 | 常驻 microVM：事件驱动 agent 的 24/7 低位成本方案 | 2026.1 入场；事件型 agent 月成本可低至约 1 美元 | 计费模式战的搅局者：赌「海量会睡觉的 agent」 |
| 记忆层玩家 | 记忆 | 跨会话记忆与经验存储（Mem0、Letta 等） | 商业模式未验证 | 噪音为主的观察位：等「记忆」与长上下文/检索的边界清晰 |
| 安全层（空位） | 信任 | MCP server 的认证、权限、审计、合规 | 14+ CVE；20 万实例暴露；Server Cards 路线图中 | 下一个收租位：标准化窗口打开中，位置空缺 |
本文为行业研究，不构成投资建议。一级市场数据未经审计。数据截至 2026-10-13。