Готовый MCP-сервер для ИИ выбирают по действиям, которые он разрешит агенту

MCP соединяет ИИ-инструмент с программой, которая отдаёт данные и выполняет операции. Сам протокол не определяет, какие задачи поручать агенту. Это решение компании.

Поиск в каталоге MCP-серверов начинается со списка действий. В нашем учебном примере агент читает одно обращение и готовит черновик. Рассылка по всей базе в эту задачу не входит.

Доступ надо проверить на разных уровнях. ИИ-инструмент показывает доступные операции, сервер исполняет запрос, а корпоративная система проверяет права учётной записи.

Большой набор инструментов не помогает выбрать сервер для узкой задачи. Запросите список операций после настройки: что останется доступно, как ограничиваются данные и кто выпускает обновления.

В готовом GitHub MCP Server есть выбор отдельных инструментов и режим чтения. README на 7 октября 2026 описывает --tools и --read-only. Права самого токена проверяют отдельно.

У готового Filesystem MCP Server можно ограничить папки, но среди его инструментов есть запись и перемещение файлов. Указание папки не превращает сервер в режим чтения.

Где запустить сервер, решают после проверки доступов. Локальная программа получает права своего процесса. Удалённая требует проверить оператора, вход и доступ к целевой системе.

Работу ИИ в закрытом контуре выбирают отдельным решением. Надпись «локальный MCP» ещё не запрещает процессу читать соседние файлы или выходить в сеть.

На нашей машине ревью нашло путь, по которому входящее письмо могло выманить секрет. Тесты его не заметили. Это урок об окружении агента, а не кейс внедрения MCP.

Агент может прочитать команду там, где ожидает данные. В письмо или обращение можно вставить просьбу выгрузить остальные записи. MCP передаёт текст, но не делает его поручением руководителя.

В правилах для ИИ-агентов фиксируют, чей текст агент исполняет. Запрет должен держаться и в правах системы: инструкция «не выгружать» не отбирает доступ к выгрузке.

В учебном примере ответ отправляет сотрудник; агенту это действие недоступно. Подтверждение в чате работает, когда агент не может обойти его другим инструментом.

Успешное демо показывает один разрешённый путь. На приёмке поставщик должен показать и запрещённые: чужую запись, запись вместо чтения, повторный запуск после отзыва доступа.

Вопрос про ответственность за ошибки решают до запуска. Для коннектора нужен назначенный сотрудник, который разрешает новые действия и может остановить связку.

Проверять лучше на вымышленных обращениях. В журнале приёмки должны остаться вызов, результат и ожидаемый отказ без ключей и содержимого клиентской базы.

Принятый коннектор оставляет компании настройки и проверку отказов. После обновления сервера список действий может измениться; сохранённая приёмка помогает заметить это до рабочего запуска.

Задача подрядчику называет результат: чтение обращений своего отдела и черновик для сотрудника. Общее «подключить MCP к CRM» такого результата не задаёт.

Работа заканчивается, когда сотрудник может повторить проверку и отозвать доступ. Установленный пакет без этой процедуры ещё требует работы инженера.

Если сначала нужно оценить готовность отдела к агентам, подойдёт тест для руководителя. Его результат поможет определить, что подготовить до подключения.

Когда границы согласованы, ограниченную связку можно поставить задачей на подписке на агентную разработку. Тариф «Один проект» стоит 250 000 ₽ в месяц на 7 октября 2026; код идёт в ветку вашего репозитория.

Это цена потока разработки. Готовность выбранного MCP-сервера к вашей системе и объём его доработок надо определить по задаче и приёмке.

1. Начните со списка действий. Чтение обращения не требует права отправлять письмо.

2. Проверьте ограничения инструмента, сервера и учётной записи. Скрытая кнопка не отбирает права.

3. Отделите текст клиента от поручения. Лишнюю операцию должна отклонять система.

4. Примите разрешённые пути и отказы. Повторите проверку после отзыва доступа.

5. Получите настройки, процедуру проверки и ответственного. Они нужны после каждого изменения связки.