Не давайте модели терминал, если бизнесу нужна кнопка «создать заявку». Собственный MCP-сервер в закрытом контуре — каталог строго ограниченных операций. Никаких универсальных exec и SQL от модели. У каждого инструмента — схема аргументов, проверка прав пользователя на конкретный объект и отдельная учетная запись исполнителя с минимальными полномочиями. Разделите подготовку и применение изменений. Для платежа сервер сохраняет точные реквизиты и сумму; человек подтверждает именно эту версию. Подмена аргументов аннулирует подтверждение. Ключ идемпотентности связывается с операцией и ее содержимым, а запись результата фиксируется атомарно с изменением данных. При таймауте агент запрашивает статус: слепой повтор финансовой операции запрещен. Приемочные критерии: 100 повторов одного запроса дают одно изменение; 0 исполнений без проверки прав; каждый вызов имеет запись аудита с субъектом, инструментом и результатом, без секретов в аргументах. Экономику считаем целиком. Если внешний посредник...