Kernaussagen
- Behandeln Sie jeden Tool-Aufruf als authentifizierte, autorisierte Unternehmensaktion – nicht als Modellausgabe.
- Setzen Sie Erkennung, Richtlinien, Ratenbegrenzungen und Prüfkontrollen hinter ein identitätsbewusstes MCP-Gateway.
- Bewerten Sie die Werkzeugauswahl und die End-to-End-Aufgabenergebnisse, nicht nur die Antwortqualität.
- Für irreversible oder weitreichende Maßnahmen ist eine ausdrückliche menschliche Genehmigung erforderlich.
Ein Protokoll löst die Konnektivität – nicht die Governance
Model Context Protocol bietet Anwendungen und Agenten eine konsistente Möglichkeit, Tools zu erkennen, Kontext abzurufen und Funktionen aufzurufen. Diese Interoperabilität ist zwar wichtig, entscheidet aber nicht darüber, welche Tools ein Mitarbeiter nutzen darf, auf welche Daten ein Agent zugreifen kann oder ob eine Aktion einer Genehmigung bedürfen soll.
In der Produktion dreht sich die schwierige Arbeit um das Protokoll: Identitätsweitergabe, Werkzeugbesitz, Anmeldeinformationsgrenzen, Richtliniendurchsetzung, Versionierung, Beobachtbarkeit und Reaktion auf Vorfälle. Ein MCP-Server, der jedem Client direkt zugänglich ist, verlagert die Integrationskomplexität einfach an eine neue Stelle.
Verwenden Sie ein identitätsbewusstes Gateway als Steuerungsebene
Ein Gateway stellt eine kontrollierte Grenze zwischen Agent-Hosts und Organisationstools dar. Es kann den anrufenden Benutzer und die Arbeitslast authentifizieren, genehmigte Server auflösen, Richtlinien anwenden, Rate und Umfang einschränken und konsistente Prüfereignisse ausgeben.
Das Gateway sollte kein Ort für Geschäftslogik werden. Seine Aufgabe ist die kontrollierte Konnektivität: Validierung von Token, Weiterleitung des Identitätskontexts, Durchsetzung von Zulassungslisten, Aufzeichnung von Anrufen und Verhinderung, dass ein kompromittierter Client auf Tools außerhalb seiner Autorisierung zugreift.
- Führen Sie eine Registrierung mit Eigentümern, Versionen, Datenklassifizierungen und Supportstatus.
- Autorisieren Sie die Kombination aus Benutzer, Agent, Tool, Mandant und angefordertem Vorgang.
- Prägen Sie kurzlebige Downstream-Anmeldeinformationen, anstatt langlebige Geheimnisse weiterzugeben.
- Trennen Sie schreibgeschützte Tools von Aktionen, die Systeme verändern oder externe Parteien kontaktieren.
Entwerfen Sie Tools rund um Jobs, nicht einfach APIs
Das Offenlegen von Hunderten von Endpunkten auf niedriger Ebene erschwert die Bewertung der Toolauswahl und erweitert die Sicherheitsoberfläche. Ein Produktionstool sollte einen begrenzten Job mit einem klaren Eingabevertrag, vorhersehbarer Ausgabe und expliziten Nebenwirkungen darstellen.
Beispielsweise ist „Vorbereiten eines Verlängerungsbriefs aus genehmigten Kundendatensätzen“ einfacher zu regeln als der uneingeschränkte Zugriff auf die Suche, die Dateispeicherung und die Nachrichtenübermittlung APIs CRM. Die Implementierung ruft diese Systeme möglicherweise intern auf, der Agent erhält jedoch eine engere Funktionalität, die auf den tatsächlichen Arbeitsablauf abgestimmt ist.
Verfolgen Sie die Entscheidung und die Ausführung
Die verteilte Ablaufverfolgung sollte die ursprüngliche Benutzeranfrage, die Modellentscheidung, das ausgewählte Tool, das Ergebnis der Gateway-Richtlinie, die Serverausführung und die Downstream-Abhängigkeit verbinden. Der OpenTelemetry-kompatible Trace-Kontext ermöglicht die Untersuchung von Latenz, Fehlern, wiederholten Aufrufen und unerwarteten Toolketten, ohne einen separaten Observability-Stack zu entwickeln.
Operative Kennzahlen sind notwendig, aber nicht ausreichend. Teams benötigen außerdem Bewertungssätze, die messen, ob das richtige Tool ausgewählt wurde, die Argumente gültig waren, die Autorisierung erhalten blieb, die Aufgabe abgeschlossen wurde und die endgültige Antwort das Tool-Ergebnis korrekt wiedergab.
- Genauigkeit der Werkzeugauswahl und Rate unnötiger Anrufe
- Autorisierungsverweigerungen und Richtliniengründe
- Durchgängiger Aufgabenerfolg, Latenz und Kosten
- Wiederholungsversuche, Schleifen, Zeitüberschreitungen und abgebrochene Aufgaben
- Menschliche Überschreibungen und Genehmigungsablehnungsmuster
Führen Sie konsequent Autonomie ein
Beginnen Sie mit Abruf- und Vorbereitungsaufgaben, bei denen Benutzer die Ergebnisse überprüfen. Als nächstes fügen Sie umkehrbare Aktionen mit Idempotenzschlüsseln und Bestätigung hinzu. Vorgänge mit großer Auswirkung – finanzielle Änderungen, externe Kommunikation, Zugangsänderungen oder destruktive Aktionen – sollten der ausdrücklichen Genehmigung unterliegen, bis Beweise für ein anderes Kontrollmodell vorliegen.
Das Ziel ist nicht maximale Autonomie. Es handelt sich um eine zuverlässige Delegation: Benutzer verstehen, was der Agent tun kann, Sicherheitsteams können erklären, warum eine Aktion zugelassen wurde, und Bediener können einen Workflow stoppen oder wiederherstellen, wenn Annahmen fehlschlagen.
Quellen und weiterführende Lektüre
Über den Autor
Centillion Edge Engineering
Unser Engineering-Team schreibt über die Architektur-, Sicherheits-, Daten- und Delivery-Entscheidungen hinter verlässlichen Enterprise-Systemen.