MCP 新路線圖聚焦代理事件、HTTP 傳輸與身分安全，但 Tasks 的 SDK 支援仍未齊

Model Context Protocol（MCP）維護團隊於 8 月 22 日公布新版路線圖，把接下來的規格工作分成代理訊息原語、HTTP 原生傳輸、代理身分與企業安全、基礎原語改善，以及 SDK 開發體驗五類。這不是另一輪功能清單，而是決定哪些 Specification Enhancement Proposal（SEP）會獲優先審查的工程排程。[官方說明](https://blog.modelcontextprotocol.io/posts/mcp-roadmap/)

最直接的變化是 MCP 準備超越一次請求、一次回應的工具呼叫模型。長時間運行的代理需要伺服器主動傳送事件、串流結果，並容許使用者在工作途中轉向；團隊因此計畫整合 Tasks、`subscriptions/listen`、進度通知，以及 webhook／channel 等事件機制。另一項工作是漸進式探索：遠端伺服器先暴露小型入口，再隨對話需要展開工具目錄，避免每次連線都把龐大 schema 塞進上下文。

傳輸層則延續 2026-07-28 規格的無狀態 HTTP 架構，研究如何把相同模型涵蓋本機 stdio 部署。安全工作不只處理 OAuth token，也要定義代理、工作負載及代行使用者的身分，讓授權與稽核能跨多個委派環節追蹤。這對 MCP gateway、企業 SSO 及多租戶代理平台比新增幾個工具欄位更重要。

不過，路線圖不能視為已交付 API。Python SDK 的公開路線圖仍把 Tasks、DPoP 與 workload identity 列為尚未實作；TypeScript SDK 也曾出現 `subscriptions/listen` 無法承載擴充通知、導致 Tasks 更新被阻塞的問題。[Python SDK 路線圖](https://github.com/modelcontextprotocol/python-sdk/blob/main/ROADMAP.md) 工程團隊現階段應鎖定協定版本、跑 conformance suite，並把 Tasks 與事件通知視為可變介面；接下來要觀察各 SDK 能否同步實作，以及 webhook 的驗證、重送和撤銷語義是否真正寫入規格。