Как безопасно дать ИИ доступ к инструментам (MCP)

Какие бывают четыре уровня доступа?

Выберите уровень для каждого инструмента и начните с первого. Названия наши: каждый инструмент ниже предлагает часть из них в своих словах.

1. Только чтениеНачните здесь

   Ваш ИИ может искать и пересказывать. Изменить он ничего не может.

   Подходит дляПервая проба или сервис, который нельзя позволить себе сломать.

2. Спрашивать перед каждым изменением

   Ваш ИИ читает свободно. Каждое изменение ждёт вашего «да» после того, как вы его увидели.

   Подходит дляНовая задача или всё, что важно.

3. Спрашивать перед удалением или отправкой

   Ваш ИИ делает обычные изменения сам. Удаление и отправка ждут вашего «да».

   Подходит дляИнструменты, где правку легко проверить и вернуть.

4. Действовать самостоятельно

   Ваш ИИ меняет что-то, не спрашивая.

   Подходит дляРабота, которую можно проверить потом и откатить.

Где задать уровень в Claude, Cursor и VS Code?

Ваше ИИ-приложение — первый выключатель. В каждом можно решить инструмент за инструментом, своими словами.

В Claude Code имя сервера в правиле — то, что вы дали серверу при добавлении.

Как сузить сервер и учётную запись за ним?

Сузьте сам доступ: тогда неплотная настройка в ИИ-приложении обойдётся дешевле. Сервер и учётная запись за ним — второй и третий выключатели.

Как начать с чтения и открывать доступ по шагам?

Относитесь к новому доступу как к пробному. Каждый шаг даёт ИИ немного больше, и на любом можно остановиться.

1. Подключите только для чтенияТолько чтение

   Включите режим только чтения у сервера, возможность только чтения или монтирование только для чтения. Попросите ваш ИИ сделать настоящую сводку. Если этого достаточно, остановитесь здесь.

2. Открывайте только то, что нужно задачеТолько чтение

   Перечислите папки, репозитории или страницы, которые важны, а остальное не отдавайте. Подключение к Notion, развёрнутому у себя, не видит ничего, чем вы не поделились, а сервер файловой системы остаётся внутри перечисленных вами папок.

3. Разрешите изменения, но с вопросом каждый разСпрашивать перед каждым изменением

   Включите запись, но пусть ИИ-приложение продолжает спрашивать. Прочитайте каждое изменение, прежде чем сказать «да», сначала на копии или тестовой странице. В Claude Code добавьте правила ask для инструментов записи и правила deny для тех, которые вам не нужны никогда.

4. Пусть безопасные части работают самиСпрашивать перед удалением или отправкой

   После нескольких удачных задач разрешите чтение и те изменения, которые можно откатить. Вопрос оставьте для удаления и отправки. В Claude Code разрешите шаблон вроде mcp__github__get_*, который покрывает инструменты с именами get_…. В Cursor добавьте linear:list_issues в mcpAllowlist. После каждой задачи проверяйте, что изменилось.

Что разрешения не останавливают?

Разрешения ограничивают цену ошибки. Они не делают доступ безвредным.

• Выданный доступ остаётся доступом. Notion говорит, что подключённый клиент может использовать MCP Notion, чтобы достать всё, до чего вы сами дотягиваетесь. Право на запись позволяет вашему ИИ писать.
• То, что читает ваш ИИ, может давать ему приказы. Страница, тикет или сервер могут спрятать инструкции в том, что возвращают. Notion советует считать содержимое, которое возвращают инструменты, ненадёжным.
• Режим «только чтение» всё равно может привести к утечке. Notion предупреждает, что подключённый клиент может отправить содержимое, которое вернул MCP Notion, в системы за пределами Notion.
• Метки — это подсказки. Спецификация MCP позволяет инструменту заявить, что он только для чтения (readOnlyHint) или деструктивен (destructiveHint). Клиенты должны считать такие метки ненадёжными, если сервер не доверенный.

Разрешения работают до изменения. Вернуть всё назад после — отдельная задача: Как отменить действия ИИ-агента

Можно ли задать уровни один раз для всех инструментов?

Да, для инструментов, которые проходят через Delta MCP. Delta MCP — бесплатное приложение между вашими ИИ-приложениями и их MCP-серверами. Каждый коннектор получает один из четырёх режимов: только чтение, спрашивать перед каждым изменением, спрашивать перед удалением или отправкой, менять сам.

• Один режим на коннектор. Выберите его на экране Connectors, в разделе When your AI wants to change something. Чтение никогда не спрашивают. Новый режим доходит до открытых разговоров при следующем вызове вашего ИИ, перезапускать ничего не нужно.
• Отдельные действия настраиваются отдельно. В Advanced задайте действию: Like the connector, один из четырёх режимов или Off. Действие с Off исчезает из поля зрения вашего ИИ, а вызов к нему отклоняется.
• Карточка перед изменением, которое нужно подтвердить. Она показывает каждое изменение до и после и то, что можно отменить. Карточка, закрытая без ответа, — это отказ: ничего не сделано.
• Activity после. Каким бы ни был режим, каждая задача появляется в Activity с каждым изменением до и после. Undo возвращает то, что может, и до нажатия говорит, чего не может, например уже отправленное сообщение.

Удаление и отправка распознаются по имени действия. Действие со странным именем считается обычным изменением, и режим решает так же, как для любого другого. Если нужна уверенность, выберите «Спрашивать перед каждым изменением» или выключите действие. И как любое разрешение здесь, режимы защищают от ошибок вашего ИИ: ваш ИИ всё равно действует с вашими правами.

Коннекторы, которые работают внутри Claude, например Gmail, Google Calendar и Google Drive, остаются в Claude за его собственным входом. Задавайте их уровни в Claude, как в таблице выше.

Режимы подробно