Выдать агенту shell и назвать это корпоративным MCP — значит автоматизировать произвол. В закрытом контуре я начинаю с узких операций: создать заявку, получить статус, изменить разрешённое поле. Никакого execute_sql от имени владельца базы. Модель предлагает действие; сервер проверяет полномочия пользователя и ограничения конкретного инструмента. Изменение данных проходит через подготовку операции: объект, аргументы, ожидаемая версия записи, срок действия. Подтверждение привязывается к хешу этого набора; подмена аргументов требует нового подтверждения. Перед записью исполнитель повторно проверяет права и версию. Ключ идемпотентности и результат фиксируются атомарно с изменением там, где это позволяет хранилище. Для внешних систем нужен отдельный механизм сверки результата после сбоя. Приёмочные критерии: ноль универсальных командных инструментов, 100% изменяющих вызовов с идентификатором инициатора и журналом результата, замер p95 накладных расходов авторизации без времени самой операц...