Подключить ИИ к CRM или каталогу документов технически проще, чем определить, что именно ему разрешено. Наличие инструмента в списке ещё не отвечает на вопросы: от чьего имени он работает, какой аккаунт выбрал и какое изменение вправе выполнить.
MCP использует архитектуру host–client–server. Host координирует подключения и политику взаимодействия, client ведёт соединение с отдельным server, а server предоставляет возможности вроде tools и resources. Здесь рассматривается опубликованная редакция протокола 2025-11-25. MCP: architecture
Описать действие до подключения
Возьмём учебного помощника по обращениям. Ему нужно находить запись и готовить черновик следующего шага. Доступ к удалению контактов, массовой рассылке и настройкам пользователей для этого не требуется.
Полезно начать не со списка всех доступных методов CRM, а с таблицы действий: чтение конкретного типа данных, создание черновика, изменение согласованного поля. Для каждого определяют аккаунт, область данных и допустимый внешний эффект.
Если один сервер обслуживает несколько профилей, выбор профиля становится частью вызова или сессии. Неявное правило «возьмём первый доступный аккаунт» плохо переносится на общий рабочий контур. При неоднозначности лучше получить уточнение, чем выполнить правильную команду в неправильной системе.
Обнаружение инструмента не заменяет авторизацию
Протокол tools описывает обнаружение и вызов инструментов, их параметры и результаты. Возможность объявить инструмент не доказывает, что произвольный клиент имеет право выполнить любой его вызов. Проверка доступа должна сохраняться на стороне сервера и используемого им сервиса. MCP: tools
Для учебного метода update_note сервер проверяет реального пользователя, профиль, принадлежность записи и разрешённые поля. Текстовый параметр вроде user_is_admin не является доказательством роли. Не следует перекладывать эту проверку на уверенность модели в собственном объяснении.
Аннотации и описания помогают клиенту понять назначение инструмента, но не становятся самостоятельным барьером безопасности. Если разрушительная операция ошибочно названа read-only, защита должна сработать на уровне разрешённого действия, а не довериться названию.
Не передавать чужие полномочия вслепую
Спецификация авторизации определяет соответствующий протокол для HTTP-подключений; правила конкретного транспорта и развертывания нужно проверять отдельно. Нельзя считать локальный процесс и удалённый HTTP-сервис одинаковыми контурами только потому, что оба говорят по MCP. MCP: authorization
Рекомендации безопасности отдельно запрещают token passthrough — принятие и пересылку токенов без необходимой проверки их назначения для сервера. MCP: security best practices
В учебной схеме полезно нарисовать каждую границу: пользователь — host, host — MCP server, server — внешняя система. Для каждой связи проверяют, кто удостоверяет сторону и кто принимает решение о доступе. Один удачный вход пользователя не отвечает автоматически на все эти вопросы.
Результат инструмента остаётся данными
Найденная заметка может содержать инструкцию отправить весь каталог наружу. Такая строка не расширяет задачу пользователя. То же относится к описанию внешнего инструмента и тексту ошибки: они помогают понять ситуацию, но сами не дают новые полномочия.
Поэтому перед внешним действием система должна знать его основание, состав и получателя. Если требуется подтверждение, оно относится к конкретному действию. Изменившийся после подтверждения адрес или набор записей нужно оценить заново.
Проверить полезный путь и запреты
На синтетических данных выполняют разрешённое чтение и создание черновика. Затем пробуют другой аккаунт, чужую запись, неподдерживаемое поле и запрещённую операцию. Проверяется состояние внешней системы: отсутствие лишнего изменения важнее правильной фразы в финальном ответе.
Отдельно рассматривают повтор после таймаута и недоступность сервера. Пользователь должен понимать, выполнено ли действие, осталось ли оно черновиком или результат неизвестен. MCP делает интеграции согласованнее, но надёжная автоматизация появляется из явных прав, проверяемых эффектов и честного сообщения о состоянии.