Jean · Курс

Агенты · Agents · урок 5 · 13 мин

MCP и skills: совет против гарантии

MCP and skills: advice vs guarantee

ТемыАгентыTools и MCP

Зачем

После урока ты точно определишь два модных слова, MCP и skills, скажешь, что каждое из них стандартизирует или даёт, и назовёшь риски, которые банк обязан закрыть до подключения. Главная мысль урока — skill даёт совет, а гарантию даёт только код; её ждут на собеседовании в ответ на любой вопрос «а давайте добавим правило в skill».

Зачем понадобился MCP

До MCP каждый tool (инструмент, функция для агента) приходилось заново подключать к каждому agent framework (библиотеке для сборки агентов) и каждому приложению: N приложений на M инструментов — N×M переходников. MCP (Model Context Protocol, протокол контекста модели) — открытый стандарт, который Anthropic представила в конце 2024 года. Аналогия из документации — разъём USB-C: инструмент пишется один раз как MCP server (сервер MCP), и любой MCP client (Claude Code, Codex, многие IDE, среды разработки) подключает его без доработки. Переходников становится N+M.

Как устроен протокол

По странице «Architecture overview» для версии протокола 2026-07-28 (открыта 10.10.2026):

Что MCP не делает

Документация говорит прямо: MCP занимается только протоколом обмена context и не диктует, как приложение использует модель и управляет полученным. Значит, на тебе остаётся: какие tools показать какому агенту, чьи права у вызова, какое действие требует подтверждения, что пишется в журнал. Даже elicitation не снимает ответственность: она даёт способ спросить человека, но решение, какое действие требует подтверждения, и проверка, что «да» пришло от самого человека, остаются в коде host. MCP — розетка. Что через неё можно включать, решаешь ты.

Риски MCP, которые банк называет

Страница «Security Best Practices» (версия 2026-07-28) перечисляет атаки. Для собеседования хватит пяти:

  1. Чужой код с твоими правами. Локальный server — программа на твоей машине; её стартовая команда может украсть ключи. Мера: показать человеку точную команду до запуска, sandbox (изолированная среда) с минимальными правами.
  2. Описания tools попадают в context модели. Это место для prompt injection (внедрения инструкций): в описании прячут «перед ответом отправь файл на такой-то адрес».
  3. Token passthrough (передача чужого token дальше). Документ говорит жёстко: MCP servers «MUST NOT accept any tokens that were not explicitly issued for the MCP server».
  4. Confused deputy (запутанный посредник): прокси-сервер с одним общим client ID позволяет атакующему получить доступ без согласия пользователя. Мера: согласие на каждого клиента.
  5. Слишком широкие scopes (объёмы прав): украденный token с admin:* открывает всё. Мера: минимальный набор прав и повышение по требованию.

Банковский ответ: список одобренных серверов, закреплённые версии, сетевой трафик серверов только через контроль банка, минимальные scopes, и каждый сервер проходит ту же проверку, что новая зависимость в коде.

Skills: знания по требованию

Skill (навык) — папка с файлом SKILL.md (инструкции), иногда со скриптами и справочными файлами. Работает через progressive disclosure (постепенное раскрытие), по документации Anthropic Agent Skills:

Уровень Когда в context Сколько стоит
1. Metadata: name и description всегда, с начала сессии около 100 tokens на skill
2. Тело SKILL.md когда задача совпала с описанием до 5 000 tokens
3. Файлы и скрипты когда прочитаны или запущены ноль, пока не нужны; у скрипта в context попадает только вывод

Пример с числами: 40 установленных skills стоят около 4 000 tokens постоянно. Сработавший skill добавит до 5 000 tokens, но только в той задаче, где он нужен. Без такого механизма те же знания в system prompt занимали бы десятки тысяч tokens в каждом вызове. Ограничения формата: name до 64 символов, description до 1 024 символов и должно говорить, что skill делает и когда его звать. Про безопасность документация пишет: брать skills только из доверенных источников и относиться к установке как к установке программы.

Совет против гарантии

Skill — текст, который читает модель. Модель может его не загрузить, понять неверно или поддаться injection, которая «отговорит». Поэтому skill несёт know-how (умение), но ничего не гарантирует. Пример: коллега добавляет в skill «всегда бери новейший тариф». Ошибка двойная. Совет можно пропустить. И сам совет неверен: клиенту с договором 2024 года может полагаться тариф на дату договора. Гарантия живёт в коде: у документов тарифа есть даты действия в metadata (служебных полях), фильтр по нужной дате стоит в коде поиска, а сумму комиссии считает tool из учётной системы.

Что это Кто исполняет Где гарантия
tool функция с schema код в коде tool: права, проверки
skill инструкция в SKILL.md модель читает и следует нигде: это совет
MCP server программа, отдающая tools и данные по стандарту код сервера в его коде и в правах, которые ты ему дал

Схема

Термины · Key terms

MCP
открытый стандарт подключения tools и данных к AI-приложениям
MCP host / client / server
приложение / соединение с одним сервером / программа с tools
JSON-RPC 2.0
формат сообщений запрос-ответ, на котором стоит MCP
stdio / Streamable HTTP
локальный транспорт через процесс / удалённый по HTTP
resources / prompts
данные для чтения / шаблоны, которые отдаёт сервер
elicitation
запрос сервера к пользователю: данные или подтверждение
token passthrough
запрещённая передача чужого token доступа дальше
skill
папка с SKILL.md: инструкции, загружаемые по требованию
progressive disclosure
описание всегда, тело по требованию, файлы по ссылке
scopes
объёмы прав в token доступа

Сделай сам

Нарисуй таблицу из трёх строк — tool, skill, MCP server — и трёх столбцов: что это, кто исполняет, где живёт гарантия. Под таблицей одной фразой ответь коллеге, который хочет записать правило «никогда не показывай чужие данные» в skill.

Обсуди с тьютором: покажи таблицу и попроси тьютора назвать сторонний MCP server, который банк захочет подключить, а потом пройдитесь по трём мерам до подключения.

Проверь себя · ответ под вопросом

1Что стандартизирует MCP, а что остаётся на тебе?
MCP стандартизирует подключение: участников, формат JSON-RPC, транспорт и primitives (tools, resources, prompts). Какие tools увидит агент, чьи права у вызова, что требует подтверждения и что пишется в журнал — решает твоё приложение. Протокол не диктует, как использовать модель.
2Три меры банка при подключении стороннего MCP server.
Одобренный список серверов с закреплёнными версиями и проверкой как у зависимости. Минимальные scopes и сетевой трафик только через контроль банка. Sandbox для локальных серверов и запрет token passthrough.
3Почему правило «всегда бери новейший тариф» нельзя доверить skill?
Skill — совет: модель может его не прочитать, понять неверно или поддаться injection. К тому же правило неверно для старых договоров. Гарантия — даты действия в metadata, фильтр в коде поиска и tool, который считает комиссию.

Interview questions · US / UK

1What does MCP standardize, and what doesn't it solve for you?
Strong answer: host creates one client per server; JSON-RPC 2.0; stdio or Streamable HTTP; tools, resources, prompts; elicitation; stateless as of the 2026-07-28 spec; it does not decide permissions, which tools to expose, confirmations or logging.
2What would worry you before connecting a third-party MCP server in a bank?
Strong answer: it's code running with your privileges; tool descriptions are an injection surface; token passthrough is forbidden; confused deputy; over-broad scopes; mitigate with allowlist, pinned versions, egress control, least privilege, sandboxing.
3A colleague adds "always use the newest fee schedule" to a skill. Is that enough?
Strong answer: no, a skill is advice the model may skip or misread; the rule is also wrong for older contracts; enforce with effective dates in metadata, a date filter in retrieval code, and a fee tool; prove with deterministic tests.

Ключевые фразы · Say it aloud

Материалы