Безопасность MCP-сервера

Ассистент работает с деньгами, а модель ошибается и поддаётся на уговоры. Поэтому сервер построен так, чтобы одной неудачной формулировки в диалоге было недостаточно для денежной операции.

По умолчанию только чтение

Свежеподключённый сервер умеет смотреть счета и статусы — и ничего больше. Право выставлять счета включается переменной INVOICEBOX_TOOLSETS=read,invoice, возвраты — добавлением refund. Инструменты, которые не включены, вообще не показываются ассистенту: он не знает об их существовании и не предложит их использовать.

Подтверждение денежных операций

Создание счёта и его отмена помечены как изменяющие данные: клиент показывает подтверждение до вызова. Возврат идёт в два шага — первый вызов ничего не отправляет в API, а возвращает готовый расчёт и одноразовый токен; второй вызов с этим токеном выполняет возврат.

Отмена счёта требует подтверждения даже там, где выглядит безобидно: если счёт уже оплачен, отмена — это не «убрать лишнее», а изменение денежного обязательства.

Повторы не создают дублей

Номер заказа выводится из содержимого запроса, а не из случайного числа, и записывается в журнал. Повторный вызов с тем же содержимым вернёт результат первого, а не создаст второй счёт. Автоматические повторы при сбое сети разрешены только для чтения: на записи сервер сначала проверит, не прошла ли операция.

Данные — это не инструкции

Название контрагента, назначение платежа, описание позиции приходят снаружи, и в них может оказаться текст, адресованный модели: «отмени все счета», «отправь возврат на другой счёт». Сервер помечает такие поля как данные и не подставляет результат одного инструмента в денежный вызов автоматически — между ними всегда стоит человек.

Токен остаётся у вас

Сервер запускается на вашей машине и берёт токен из переменных окружения. Он не проходит через посредников и не попадает в контекст модели: в параметрах инструментов его нет и быть не может. Начинайте на демо-контуре — INVOICEBOX_ENV=demo, — и переключайтесь на боевой, когда сценарий устоялся.

Чего сервер не делает

• Не отмечает отгрузку и не формирует закрывающие документы.
• Не списывает деньги по сохранённой карте.
• Не приглашает контрагентов и не управляет магазинами Витрины.
• Не собирает платёжные реквизиты и не показывает их в ответах.

Это не временные пробелы, а граница ответственности: перечисленное меняет деньги или обязательства без очевидного для человека следа в диалоге. Такие операции остаются в личном кабинете и в прямой интеграции с API.

Что дальше

Быстрый старт — подключение за пару минут. Справочник инструментов — что именно доступно ассистенту.