Не давайте модели терминал, если бизнесу нужна кнопка «создать заявку». Собственный MCP-сервер в закрытом контуре — каталог строго ограниченных операций. Никаких универсальных exec и SQL от модели. У каждого инструмента — схема аргументов, проверка прав пользователя на конкретный объект и отдельная учетная запись исполнителя с минимальными полномочиями. Разделите подготовку и применение изменений. Для платежа сервер сохраняет точные реквизиты и сумму; человек подтверждает именно эту версию. Подмена аргументов аннулирует подтверждение. Ключ идемпотентности связывается с операцией и ее содержимым, а запись результата фиксируется атомарно с изменением данных. При таймауте агент запрашивает статус: слепой повтор финансовой операции запрещен. Приемочные критерии: 100 повторов одного запроса дают одно изменение; 0 исполнений без проверки прав; каждый вызов имеет запись аудита с субъектом, инструментом и результатом, без секретов в аргументах. Экономику считаем целиком. Если внешний посредник берет условный 1 ₽ за вызов, миллион вызовов стоит 1 млн ₽ только за этот слой. Локальный вариант сравниваем по стоимости сервера, сопровождения и аудита; инференс учитываем отдельно. Свое железо не отменяет зарплату инженера. MCP сам по себе не изолирует процессы. Исполнители работают без root, с ограничениями CPU, памяти и времени, с доступом только к нужным внутренним сервисам. Персональные данные минимизируются до попадания в контекст модели. Суверенитет начинается с проверяемого права изменить состояние системы. https://run-as-daemon.dev/?utm_source=telegram&utm_medium=smm&utm_campaign=rad_ru&utm_content=sobstvennyy-mcp-server-dlya-bezopasn