MCP Bukanlah Penyambung — Ia Permukaan Tadbir Urus Anda untuk Era Ejen

Masalah pembingkaian: "penyambung" kurang menjual keputusan yang sebenarnya anda buat

Apabila Anthropic memperkenalkan Protokol Konteks Model (MCP) pada November 2024 sebagai standard terbuka untuk menghubungkan sistem AI kepada sumber data dan alatan perniagaan, industri ini melakukan apa yang biasanya dilakukan dengan spesifikasi integrasi baharu: ia memfailkan MCP di bawah paip. Penyesuai, pengangkutan, cara yang kemas untuk berhenti menulis gam sekali sahaja untuk setiap model dan setiap alatan. Semua true, dan semuanya tidak penting jika anda duduk di kerusi CIO, CTO atau CISO.

Berikut ialah rangka semula yang penting untuk sesebuah perusahaan. Sebaik sahaja ejen boleh memanggil alat yang membaca data pelanggan anda atau menulis ke sistem rekod anda, anda telah mencipta titik kawalan baharu — sama ada anda menamakannya atau tidak. MCP ialah tempat di mana titik kawalan itu boleh dinyatakan secara eksplisit. Ia bukan sekadar bagaimana ejen mencapai alat anda; ia adalah tempat anda memutuskan siapa yang memanggil, identiti siapa, alat mana yang boleh dilihat, bagaimana setiap panggilan direkodkan dan kos setiap panggilan yang dibenarkan. Itu adalah soalan tadbir urus, bukan soalan ketersambungan.

Anggap MCP sebagai ciri sambungan dan anda akan mengoptimumkan untuk perkara yang salah — liputan, kiraan integrasi, masa untuk panggilan pertama. Anggap ia sebagai permukaan tadbir urus dan anda akan mengoptimumkan untuk apa yang sebenarnya menentukan sama ada ejen selamat untuk digunakan pada skala besar: antara muka tunggal yang diseragamkan dan boleh diaudit di mana dasar dikuatkuasakan sekali dan dipatuhi di mana-mana sahaja.

Mengapa "banyak penyepaduan tersuai" secara senyap mencipta semula tadbir urus N kali

Kebanyakan perusahaan tidak tiba di era ejen dengan catatan yang bersih. Mereka tiba dengan portfolio integrasi mata: penyambung tersuai di sini, akaun perkhidmatan di sana, pembalut API yang dibina oleh pasukan dua suku tahun lalu yang tiada siapa yang ingat sepenuhnya. Setiap satu daripada ini adalah keputusan tempatan yang munasabah. Secara kolektif, ia adalah masalah tadbir urus, kerana setiap satu melaksanakan semula identiti, kebenaran, pembalakan dan kawalan kadar/kos dalam idiomnya sendiri — atau melangkau sebahagian daripadanya sepenuhnya.

Tiga mod kegagalan menyusul seperti yang dijangka. Pertama, identiti berubah: satu integrasi berjalan sebagai akaun perkhidmatan kongsi, satu lagi menyamar sebagai pengguna akhir, yang ketiga menggunakan kunci tahan lama yang dicetak oleh seseorang yang telah bertukar pasukan — jadi "siapa yang melakukan ini?" mempunyai N jawapan yang berbeza, tiada yang lengkap. Kedua, serpihan kebenaran, kerana peraturan untuk apa yang mungkin dilakukan oleh alat berada dalam N pangkalan kod dengan N irama semakan; kawalan yang anda ketatkan di satu tempat secara senyap kekal longgar di tempat lain. Ketiga — yang kewangan dan audit terasa dahulu — nombor-nombor itu berubah, kerana soalan yang sama yang dijawab melalui dua laluan integrasi mengembalikan dua jawapan. Sebaik sahaja pihak berkepentingan berhenti mempercayai nombor, program ejen berhenti penting.

Alternatif piawai bukanlah ajaib mahupun percuma, tetapi ia mengubah bentuk kerja. Daripada mengawal N integrasi N kali, anda mengawal satu antara muka sekali dan mendedahkan alatan melaluinya secara sengaja. Identiti diwujudkan di satu tempat. Kebenaran adalah sifat antara muka, bukan tabiat setiap penyambung. Pembalakan adalah seragam, jadi jejak audit sebenarnya adalah jejak. Dan nombor berhenti hanyut kerana terdapat satu laluan untuk mengiranya.

Identiti dan konteks penyewa: tentukan di pintu, bukan dalam alat

Soalan pertama yang perlu dijawab oleh permukaan tadbir urus ialah kuasa siapa yang dibawa oleh panggilan tersebut. Dalam konteks SaaS berbilang penyewa, ini adalah halus, kerana terdapat dua fakta berbeza yang dimainkan: identiti pemanggil (ejen yang mana, bertindak untuk pengguna atau perkhidmatan yang mana) dan konteks penyewa panggilan beroperasi di dalamnya (data dan kelayakan pelanggan yang terpakai). Gabungkan mereka dan anda akan mendapat pepijat timbalan keliru klasik, di mana ejen yang disahkan secara sah untuk satu tujuan diarahkan untuk bertindak dengan keistimewaan yang sepatutnya tidak pernah diwarisi.

Disiplin yang patut diguna pakai adalah untuk memperoleh konteks penyewa daripada pengikatan penyewa bahagian pelayan, bukan daripada apa sahaja yang ditegaskan oleh sesi pemanggil. Dalam pelaksanaan kami sendiri, peringkat pelanggan yang akses ciri get diselesaikan daripada konteks penyewa, tidak pernah membaca kembali daripada sesi pemanggil — tepat supaya pemanggil tidak dapat meluaskan jejari letupannya sendiri dengan membentangkan sesi yang kelihatan lebih kaya. Identiti memberitahu anda siapa yang bertanya; Konteks penyewa memberitahu anda tentang alam semesta data dan kelayakan yang mesti dikira jawapannya. Kedua-duanya diputuskan di pintu, sebelum sebarang alat dijalankan.

Di sini juga anda membuat keputusan bahawa ejen bukanlah pengguna. Manusia dalam konsol mempunyai mata, teragak-agak dan seorang pengurus. Ejen mempunyai gelung. Identiti dan konteks yang anda berikan kepadanya harus mencerminkan bahawa ia boleh bertindak lebih pantas dan lebih literal daripada mana-mana orang yang telah anda sediakan.

Kebenaran setiap alat: pendedahan adalah keputusan, bukan lalai

Kelalaian yang paling biasa dan paling berbahaya dalam penggunaan ejen awal ialah pendedahan semua atau tiada apa-apa: sambungkan ejen ke platform dan biarkan ia mencapai semua yang boleh dicapai oleh kelayakan asas. Mudah dalam demo, tidak dapat dipertahankan dalam pengeluaran. Permukaan tadbir urus menganggap keterlihatan dan kebenaran setiap alat sebagai keputusan yang disengajakan dan boleh disemak.

Secara konkrit, kebenaran harus berbilang paksi dan bukannya suis hidup/mati tunggal. Kami menggunakan model tiga paksi — skop dan peringkat, dengan peringkat yang diperoleh daripada konteks penyewa seperti yang diterangkan di atas — supaya alat tertentu didedahkan hanya apabila skop pemanggil membenarkannya dan peringkat penyewa merangkuminya. Inti paksi kedua ialah keupayaan bukan sekadar fungsi siapa yang meminta tetapi hak pelanggan mana yang berkuat kuasa. Ini memastikan permukaan pendedahan jujur: menambah alat baharu pada katalog tidak menjadikannya boleh dicapai oleh setiap ejen dalam setiap penyewa secara senyap.

Model mental untuk diberikan kepada arkitek anda ialah katalog, bukan papan suis. Setiap alat dalam katalog memperoleh tempatnya melalui keputusan tentang siapa yang boleh memanggilnya dan di bawah keadaan penyewa. Alat yang tidak diperlukan oleh ejen pada masa ini tidak ada dalam katalog. "Semua atau tiada" ialah ekonomi false; "sengaja setiap alat" ialah satu-satunya postur yang bertahan selepas audit sebenar.

Penulisan gagal-ditutup: asimetri antara membaca dan bertindak

Bacaan dan tulis tidak setara dari segi moral, dan permukaan tadbir urus anda tidak seharusnya berpura-pura setara. Bacaan yang salah mengembalikan data lapuk atau kosong — boleh dipulihkan, selalunya tidak kelihatan. Tulisan yang salah mengubah sistem rekod, menghantar mesej kepada pelanggan sebenar atau memindahkan wang. Kos kesilapan adalah tidak simetri, jadi postur lalai juga mestilah tidak simetri.

Peraturan yang kami pegang ialah alat penulisan gagal ditutup. Jika kebenaran adalah samar-samar, jika konteks penyewa tidak dapat diselesaikan dengan bersih, jika pengawal tidak dapat dinilai, penulisan tidak akan berlaku. Ini adalah bertentangan dengan lalai berasaskan kemudahan yang diwarisi oleh banyak integrasi, di mana semakan yang tidak dinilai akan "membenarkan" supaya laluan gembira kekal lancar. Buka-gagal ialah cara anda menemui, beberapa minggu kemudian, bahawa ejen menulis di bawah syarat yang tidak pernah diluluskan oleh sesiapa pun. Untuk apa-apa yang mengubah keadaan atau menyentuh pelanggan, lalai selamat ialah penolakan, dan beban pembuktian adalah untuk menunjukkan ia dibenarkan.

Terdapat dimensi budaya di sini. Jurutera mengoptimumkan untuk perkara yang berfungsi; keselamatan mengoptimumkan untuk perkara yang tidak rosak dengan cara yang paling teruk. Permukaan tadbir urus ialah tempat anda mengekod bahawa cara paling teruk — penulisan tanpa kebenaran yang dilaksanakan secara senyap — tidak boleh diterima, walaupun kadangkala dengan kos menolak penulisan yang sepatutnya baik-baik saja.

Lejar belanjawan dan suis bunuh: kos pengawal selia sebagai kawalan kelas pertama

Ejen memperkenalkan kategori risiko yang kebanyakannya tidak dilakukan oleh integrasi tradisional: perbelanjaan autonomi. Gelung yang memanggil alat boleh, melalui pepijat atau gesaan permusuhan, memanggilnya jauh lebih banyak daripada yang dimaksudkan oleh sesiapa pun — membakar bajet API, mencetuskan caj hiliran atau membanjiri pelanggan. Oleh itu, kawalan kos tergolong dalam permukaan tadbir urus, tidak diaktifkan selepas itu sebagai amaran pengebilan yang diaktifkan setelah kerosakan berlaku.

Mekanisme yang kami jalankan ialah lejar bajet yang dinilai sebelum sebarang perbelanjaan, dengan had setiap larian, setiap hari dan 30 hari bergulir, serta suis bunuh disemak sebelum pelaksanaan. Perhatikan susunan: bajet dan suis bunuh dinilai sebelum perbelanjaan, tidak diselaraskan selepasnya. Amaran yang memberitahu anda bahawa anda telah berbelanja secara berlebihan adalah postmortem; lejar yang menolak panggilan belanjawan berlebihan adalah kawalan. Tiga ufuk masa adalah penting kerana mod kegagalan mempunyai bentuk yang berbeza — gelung yang tidak terkawal akan melepasi had setiap larian, jadual yang salah konfigurasi akan melepasi had setiap hari, dan rayapan perlahan hanya muncul pada tetingkap 30 hari.

Suis pemutus berhak mendapat garisannya sendiri dalam reka bentuk. Ia adalah kawalan yang anda capai apabila anda belum memahami apa yang berlaku dan anda memerlukan aktiviti itu dihentikan sekarang. Dinilai sebelum pelaksanaan, ia adalah pemutus litar, bukan alat pembersihan. Setiap program ejen sepatutnya dapat menjawab satu soalan dengan serta-merta: bagaimana kita menghentikannya? Jika jawapannya melibatkan penghalaman tiga pasukan dan pembatalan kunci secara manual, anda tidak mempunyai suis bunuh — anda mempunyai harapan.

Audit dan penyuntingan: berskop, terikat masa dan boleh diperhatikan

Tadbir urus yang tidak dapat diperhatikan bukanlah tadbir urus; ia adalah niat. Lapisan terakhir permukaan adalah lapisan yang menjadikan segala-galanya di atasnya dapat dibuktikan selepas kejadian. Kunci ejen harus diskopkan kepada alat yang sebenarnya mereka perlukan dan dihadkan masa supaya jejari letupan kelayakan mengecut kepada sifar mengikut jadual dan bukannya berlarutan selama-lamanya. Kunci yang boleh melakukan apa sahaja selama-lamanya adalah artifak paling biasa yang terdapat dalam runtuhan semakan insiden.

Begitu juga, jejak audit itu sendiri perlu menghormati data yang direkodkannya. Kami menggunakan redaksi setiap panggilan supaya log menangkap apa yang berlaku — alat yang mana, di bawah identiti dan konteks penyewa yang mana, dengan hasil yang mana — tanpa menjadi salinan sekunder data yang sangat sensitif yang perlu dilindungi oleh kawalan. Log audit yang secara senyap-senyap mengumpul rekod pelanggan teks biasa bukanlah kawalan; ia adalah liabiliti baharu dengan nama yang mesra.

Bersama-sama, sifat-sifat ini — kunci berskop, had masa, redaksi setiap panggilan, audit seragam — membolehkan CISO menjawab soalan yang sebenarnya ditanya selepas kejadian: apa yang boleh dilakukan oleh kelayakan ini, berapa lama ia boleh melakukannya, apa yang sebenarnya dilakukannya, dan bolehkah kita membuktikannya tanpa membocorkan lebih banyak dalam pembuktian.

Mengikatnya dengan risiko berterusan — dan bersikap jujur ​​tentang apa yang tinggal

Bukan satu pun daripada ini adalah persediaan sekali sahaja. Rangka Kerja Pengurusan Risiko AI NIST (AI RMF 1.0) menyatakan secara eksplisit bahawa mengurus risiko AI adalah proses yang berterusan, bukan senarai semak yang anda lengkapkan dan simpan. Permukaan tadbir urus adalah berharga kerana ia memberikan proses berterusan itu satu tempat untuk bertindak: apabila risiko baharu muncul, anda melaraskan kebenaran, belanjawan, pendedahan atau audit dalam satu antara muka dan bukannya mengejar perubahan merentasi integrasi N. Penyeragaman inilah yang menjadikan tadbir urus berterusan boleh diurus dan bukannya sekadar aspirasi. Ia juga merupakan sebab mengapa keputusan pendedahan yang teliti membuahkan hasil dua kali — sekali apabila anda membuatnya, dan sekali lagi setiap kali anda perlu menyemaknya semula.

Bersikap jujur ​​tentang risiko sisa, kerana lembaga anda akan menjadi begitu. Permukaan tadbir urus menyempitkan permukaan serangan dan menjadikan aktiviti boleh diaudit; ia tidak menjadikan ejen sempurna. Suntikan segera masih boleh cuba mengarahkan ejen yang diberi kuasa secara sah ke arah penyalahgunaan yang kelihatan sah. Alat yang sengaja didedahkan masih boleh disalahgunakan dalam kebenarannya. Belanjawan terikat dengan kos tetapi bukan penghakiman. Kajian Deloitte "State of AI in the Enterprise" telah berulang kali menunjukkan jurang antara cita-cita AI dan kematangan operasi untuk mentadbirnya — dan jurang itulah tepatnya di mana risiko sisa ini berada. Respons yang betul bukanlah untuk mendakwa jurang itu ditutup tetapi untuk menjadikannya kecil, boleh diperhatikan dan diuruskan secara berterusan.

Kami telah membina platform kami berdasarkan keyakinan ini. SocialHub.AI mendedahkan alatan lapisan semantik di atas MCP menggunakan pengangkutan boleh strim HTTP, boleh dicapai daripada ejen seperti Claude, GitHub Copilot dan Microsoft 365 Copilot, dengan kawalan yang diterangkan di sini digunakan pada antara muka dan bukannya tersebar merentasi penyambung: kebenaran tiga paksi dengan peringkat daripada konteks penyewa, penulisan gagal ditutup, lejar belanjawan setiap jalan/setiap hari/30 hari dengan suis bunuh pra-pelaksanaan dan kunci ejen berskop dan terikat masa dengan redaksi dan audit setiap panggilan. Ia adalah disiplin tadbir urus yang sama yang menyokong kerja kesetiaan di mana kami membantu mengembangkan sumbangan GMV ahli McDonald's China daripada kira-kira 5% kepada 85% — hasil pada skala itu hanya bertahan apabila antara muka kepada data boleh dipercayai melalui pembinaan.

Jika anda memutuskan bagaimana ejen akan menyentuh sistem rekod anda, soalan yang perlu diajukan kepada pasukan anda bukanlah "penyambung yang mana" — ia adalah "di mana identiti, kebenaran, pembalakan dan kos diputuskan, dan adakah itu satu tempat atau N." Jika anda ingin melihat bagaimana permukaan MCP yang mengutamakan tadbir urus dalam praktik, tempah demo atau baca lebih lanjut tentang pendekatan kami di /platform/ai-frontier.