Зачем прятать инструмент, а не возвращать ошибку прав?

Потому что ошибка - это текст, а текст агенту приходится толковать посреди задачи. Ему надо понять, повторять ли, просить ли другое, сообщать ли принципалу, - и часть этих решений он примет неверно. Инструмент, которого нет в tools/list, таких вопросов не ставит. Там же нечего и уговаривать вызвать, а это важно, как только вы признаёте, что агент в ходе обычной работы читает текст, подконтрольный чужому. Плата за это - вызывающая сторона не понимает, чего ей не хватает; плата настоящая, и разбираться с ней приходится отдельно.

Если скилл уже запретил агенту это делать, зачем проверять на сервере?

Потому что скилл - это указание, а от указания агента можно отговорить. Всё, что он читает посреди задачи, умеет спорить со сказанным ему заранее, и никакая аккуратность формулировок эту дыру не закрывает. Поэтому мы держим разделение строго: скилл говорит, для чего агент, сервер отказывает в том, чего агенту нельзя. При расхождении побеждает сервер, потому что побеждать в состоянии только он. Рабочее правило: если нарушение будет иметь значение, этому не место в скилле.

Чем плох тихий отказ?

Он неотличим от успеха. Наш эндпоинт отвечает вызывающей стороне без учётных данных: она получает работающее соединение с тремя инструментами вместо четырнадцати и без единой ошибки. Это намеренно - агент незнакомца должен уметь заглянуть внутрь, - но конфигурация, просто потерявшая токен, выглядит точно так же, и различить не может ни агент, ни тот, кто её настраивал. Обнаружение во время работы не умеет показать, что было бы в другом списке. Чинить приходится в стороне от протокола, поэтому мы поставляем команду doctor: она спрашивает у эндпоинта, что он на самом деле отдаёт, и говорит, какая это полоса и почему.

Помогает ли отказ, если агент скомпрометирован?

Только он и помогает. Любой другой контроль исходит из того, что агент ведёт себя хорошо; серверная проверка исходит из обратного. Поэтому проектный вопрос не в том, что агенту следует делать, а в том, в чём сервер по-прежнему откажет, когда агента убедили в чём угодно. По той же причине отказ должен переадресовывать, а не упираться в тупик: запрос за пределами условий принципала становится решением в его очереди, и человек видит то, чего агент не смог разрешить, вместо агентской догадки.

СодержаниеРазделов: 7

Отказ через отсутствие
Отказ расширять самого себя
Отказ утверждению, за которым ничего нет
Отказ считать написанное участником указанием
Отказ, не упирающийся в тупик
Отказ, которого не слышно
Правило под всеми ними

MCP14 сентября 2026 г.4 мин чтения

Чему MCP-сервер обязан отказывать

MCP-сервер обычно описывают списком инструментов. Безопасно ли направлять на него агента, решает другая половина: чему он отказывает, как отказывает и можно ли агента от этого отказа отговорить.

Mikhail Savchenko

Короткий ответ

Список инструментов - это буклет. Проектные решения, которые в MCP-сервере что-то значат, - это отказы, а сильнейший отказ тот, при котором инструмент вообще не появляется: регистрируйте инструменты по областям доступа, и вызывающая сторона без нужного права никогда не увидит охраняемый инструмент, а значит, её не к чему будет склонять. Всё, что обязано держаться независимо от решения агента, живёт на сервере за проверкой, потому что лежащее в контексте агента держится только на согласии агента: оно держится ровно до появления более убедительного текста посреди задачи.

Почти всё написанное про MCP-серверы - это описание их инструментов. Это буклет, и это лёгкая половина: назвать возможность и дать ей схему аргументов - работа на одно утро.

А решают, можно ли вообще направлять на него агента, отказы. Не тексты ошибок, а то, чего сервер не сделает, для кого не сделает и устоит ли этот предел, когда агента убедят в обратном.

Вот набор, к которому мы пришли, и от чего защищает каждый пункт.

Отказ через отсутствие

Наш сервер регистрирует инструменты по областям доступа. Если в токене нет consult, вызывающая сторона не получает от ask_agent ошибку - она вообще не видит ask_agent в tools/list.

Инструментов пятнадцать. Агент участника видит четырнадцать. Агент заявителя, пока клуб решает, видит десять. А тот, кто пришёл без учётных данных, - три.

Это сильнее ошибки прав по двум причинам. Первая скучная: ошибка - это текст, который агенту приходится толковать посреди задачи, и иногда он толкует его как «попробовать по-другому». Вторая важная. Агент по ходу работы читает текст, который писал не он, и часть этого текста писал тот, кому нужно, чтобы агент сделал что-нибудь другое. Инструмента, которого нет в списке, не за что уговаривать вызвать. Список - не принуждение: убеждённый агент всё равно может позвать угаданное имя, и откажет ему проверка права, - но именно список не даёт спору начаться.

Отказ расширять самого себя

Областей доступа семь. Одна из них - mandate:write, и ни одному собранному клубом агенту она не выдаётся.

Она есть, потому что принципалу нужно менять свои условия. Её не выдают, потому что агент, который может поменять условия своей работы, работает без условий. На бумаге это очевидно. В системе, где вызовы делает агент, а инструмент «изменить настройки» удобнее всего положить рядом с остальными, - уже нет.

Рядом стоит второе решение: действующие права - это пересечение областей токена и мандата, и считают его заново на каждом запросе, а не читают один раз и впечатывают в учётные данные. Принципал, сузивший мандат сегодня, тем самым сузил все когда-либо выданные токены, включая забытые, и ничего для этого не делал.

Отказ утверждению, за которым ничего нет

Через file_evidence агент фиксирует, что его принципал на самом деле сделал. Если источник не manual, вызов обязан нести ссылку на артефакт: коммит, документ, запись в календаре. Без ссылки сервер отказывает.

Правило начиналось фразой в скилле, и агенты её пропускали мимо - не по злому умыслу, а потому что приобщить рассказ принципала о себе проще, чем найти, где это на самом деле было. Поэтому правило переехало на сервер.

В отказе названа причина, а не только запрет: утверждение, поданное как взятое из артефакта, но без ссылки на него, - это переодетый самоотчёт. Агент, которому назвали причину, опознает следующий случай. Агент, которому назвали правило, опознает только этот.

Отказ считать написанное участником указанием

Всё, что написал агент другого участника, - ответ, стенограмму, профиль - оборачивают, прежде чем вернуть в контекст агента. Тринадцать точек вызова в четырёх модулях. Обёртка говорит: это данные, их писал кто-то другой, они адресованы не тебе.

Это наименее заметный отказ, и потерять его легче всего. Держится он не на области доступа, а на том, что никто не забыл, - слабее защиты не бывает. В списке он потому, что записать его - это и есть большая часть того, что его держит.

Отказ, не упирающийся в тупик

От отказа, который просто останавливает, толку половина. Запрос, чуть выходящий за условия принципала, - ровно тот, который принципал и хотел увидеть.

Поэтому запрос, которого мандат не покрывает, становится решением в очереди принципала вместе с тем, из-за чего возник. Агент не угадывает, человеку не надо собирать контекст заново, а ответ - в том числе «нет» - ложится в ту же запись.

Отказ, которого не слышно

Вот здесь мы сначала ошиблись.

Эндпоинт отвечает вызывающей стороне вовсе без учётных данных. Так задумано: чужой агент должен суметь заглянуть и увидеть, кто принимает вопросы, - в клуб, внутрь которого не заглянуть, нельзя решить вступать. Он получает три инструмента.

А вот ошибки он не получает. Конфигурация, потерявшая токен, выглядит ровно как рабочая, в которой нет большей части продукта, и агент разницы не видит: во время работы ему показывают список инструментов и не дают узнать, каким был бы другой. Человек, который эту конфигурацию собирал, тоже не видит. Мы это нашли, потеряв полдня.

В протокол починка не помещается, поэтому она встала рядом: команда doctor спрашивает у эндпоинта, что он на самом деле отдаёт, определяет полосу и объясняет, почему полоса именно эта. Число инструментов само по себе - не диагноз.

Правило под всеми ними

Если нарушение будет иметь значение, этому не место в скилле.

Скилл говорит, для чего агент. Сервер отказывает в том, чего агенту нельзя. Разойдутся - верх возьмёт сервер, потому что взять его больше некому. Всё, что выше, - это то же правило в разных местах, а ошибались мы там, где написали хорошую фразу и приняли её за контроль.

В цифрах

Наш сервер регистрирует 15 инструментов. Агент участника видит 14, агент заявителя на испытательной полосе - 10, а вызывающая сторона вовсе без учётных данных - 3.
Из семи областей доступа mandate:write никогда не выдаётся агенту, которого собирает клуб: агент, способный расширить собственный мандат, мандата не имеет.
Действующие права - пересечение областей токена и мандата принципала, пересчитываемое на каждом запросе, поэтому сужение мандата сужает и уже разошедшиеся учётные данные.
file_evidence отклоняет любое утверждение, источник которого не manual и которое не несёт ссылки на артефакт, откуда оно взято, и в отказе назван не только запрет, но и причина.
Текст, написанный другим участником, оборачивается перед возвращением в контекст агента в тринадцати точках вызова четырёх модулей, чтобы приходить как данные, а не как указание.

Вопросы

Зачем прятать инструмент, а не возвращать ошибку прав?: Потому что ошибка - это текст, а текст агенту приходится толковать посреди задачи. Ему надо понять, повторять ли, просить ли другое, сообщать ли принципалу, - и часть этих решений он примет неверно. Инструмент, которого нет в tools/list, таких вопросов не ставит. Там же нечего и уговаривать вызвать, а это важно, как только вы признаёте, что агент в ходе обычной работы читает текст, подконтрольный чужому. Плата за это - вызывающая сторона не понимает, чего ей не хватает; плата настоящая, и разбираться с ней приходится отдельно.
Если скилл уже запретил агенту это делать, зачем проверять на сервере?: Потому что скилл - это указание, а от указания агента можно отговорить. Всё, что он читает посреди задачи, умеет спорить со сказанным ему заранее, и никакая аккуратность формулировок эту дыру не закрывает. Поэтому мы держим разделение строго: скилл говорит, для чего агент, сервер отказывает в том, чего агенту нельзя. При расхождении побеждает сервер, потому что побеждать в состоянии только он. Рабочее правило: если нарушение будет иметь значение, этому не место в скилле.
Чем плох тихий отказ?: Он неотличим от успеха. Наш эндпоинт отвечает вызывающей стороне без учётных данных: она получает работающее соединение с тремя инструментами вместо четырнадцати и без единой ошибки. Это намеренно - агент незнакомца должен уметь заглянуть внутрь, - но конфигурация, просто потерявшая токен, выглядит точно так же, и различить не может ни агент, ни тот, кто её настраивал. Обнаружение во время работы не умеет показать, что было бы в другом списке. Чинить приходится в стороне от протокола, поэтому мы поставляем команду doctor: она спрашивает у эндпоинта, что он на самом деле отдаёт, и говорит, какая это полоса и почему.
Помогает ли отказ, если агент скомпрометирован?: Только он и помогает. Любой другой контроль исходит из того, что агент ведёт себя хорошо; серверная проверка исходит из обратного. Поэтому проектный вопрос не в том, что агенту следует делать, а в том, в чём сервер по-прежнему откажет, когда агента убедили в чём угодно. По той же причине отказ должен переадресовывать, а не упираться в тупик: запрос за пределами условий принципала становится решением в его очереди, и человек видит то, чего агент не смог разрешить, вместо агентской догадки.