MCPProxy 是一个本地 MCP（Model Context Protocol）代理，用于将多个 MCP 服务器通过一个端点统一路由，并面向 AI 智能体提供更安全、更节省上下文的工具访问方式。其核心是单个二进制文件，支持 macOS（Intel 与 Apple Silicon）、Windows（x64 与 ARM64）和 Linux（x64 与 ARM64），内嵌 Web UI，无需额外运行服务；macOS 还提供可选的菜单栏应用，支持一键启停、查看服务器健康状态、隔离与日志。
主要能力
- 聚合与扩展：可联邦化数百个 MCP 服务器，绕过 Cursor 的 40 工具限制和 OpenAI 的 128 函数上限。
- 按需发现：智能体不再加载全部上游工具定义，而是看到少量 MCPProxy 内置工具（如 retrieve_tools、describe_tool、call_tool_* 变体及若干管理工具），通过 BM25 搜索按关键词检索所需工具，再按需获取完整 schema。仓库说明该节省并非固定百分比，取决于工具数量、路由模式、客户端和任务；在 45 工具参考语料上，代理初始菜单反而大于直接列出全部上游工具（retrieve_tools 模式 2625 tokens，code_execution 模式 1874，基线 1730），只有超过盈亏平衡的工具数量才会出现节省。
- 隔离审查：新服务器默认进入隔离区，其工具在人工审查批准前不会暴露给智能体；默认手动信任模式下，已批准工具定义的大多数后续变更会再次被暂扣审查。已知例外包括：非扫描模式下的仅输入 schema 编辑、新增输出 schema、为原本空描述的工具添加描述；扫描模式会放行干净变更并可能漏检；自动模式不暂扣变更。该机制用于降低工具投毒攻击风险，但不保证绝对安全。
- 可插拔安全扫描器：可在批准前对隔离服务器运行 Snyk、Semgrep、Trivy、Cisco 等基于 Docker 的扫描器，结果归一化为 SARIF 并给出综合风险评分。
- 调用与审计：智能体通过 call_tool_read、call_tool_write、call_tool_destructive 等变体按声明意图调用工具，代理会校验意图与工具注解是否匹配，并检查隔离与批准状态。所有调用记录在本地活动日志中，带请求 ID，受可配置的保留策略（时间、记录数、大小）和单条响应大小上限约束，用于检查与调试，而非合规保证。敏感数据检测会在日志中标记参数和响应中的潜在密钥，默认不阻断调用；可选的输出净化可在支持的文本响应中脱敏或阻断严重检测，但不覆盖工具参数、非文本内容、直接路由模式或上游错误响应。
- 预检门禁：针对 cron、CI、n8n 等无头自动化任务，可用一条预检命令在不联系上游服务器的情况下检查所需工具是否就绪，并报告具体原因（服务器被隔离、工具批准后变更、OAuth 过期、ID 拼写错误等）。
使用方式 安装：macOS 推荐 DMG 安装包（Apple Silicon 与 Intel 分别对应不同文件），也可用 Homebrew cask（菜单栏应用，含 CLI）或 formula（仅 CLI）；Windows 推荐安装器（x64 与 ARM64），会自动安装核心服务器与系统托盘应用、加入 PATH 并创建开始菜单快捷方式，支持静默安装；Linux 提供 apt 与 dnf 仓库（自动更新，附带加固的 systemd 单元并自动启动服务）、Arch AUR 的 mcpproxy-bin，以及手动下载的 tarball；也可在具备 Go 1.26+ 的环境中构建。 配置与连接：添加服务器后需审查并批准，也可手动编辑 ~/.mcpproxy/mcp_config.json。将代理接入 Cursor、VS Code、Claude Desktop、Goose 等 IDE/AI 工具；Claude Desktop 需在 claude_desktop_config.json 中配置。默认使用 HTTP，HTTPS 为可选，首次启动自动生成证书，支持 localhost、127.0.0.1、::1，可用 mcpproxy trust-cert 安装信任。
适用场景与限制 适用于需要聚合大量 MCP 服务器、控制工具定义上下文占用、对第三方 MCP 服务器进行审查与安全扫描、以及为自动化任务做工具就绪预检的场景。限制包括：隔离与扫描不能保证安全；令牌节省取决于工具数量与配置，仓库未发布统一的令牌缩减或准确率提升数字，也未做延迟声明；敏感数据检测默认不阻断，输出净化覆盖范围有限；活动日志是调试辅助而非合规保证。
