MCP для агента: какие инструменты открыть, а какие оставить закрытыми

Какие инструменты оставлять открытыми на обычном шаге?

Обычный шаг читает файлы и ищет строку. Ему хватает двух имён: read_file и search. Запись в один заранее названный файл открывают отдельным шагом, не «заодно». Удаление, отправка почты и произвольная оболочка на этом шаге закрыты. Список из 2 имён проще проверить глазами, чем список из 15. Если имя не нужно для команды приёмки, его в открытом наборе нет.

Закрытый инструмент — это не скрытая настройка «на всякий случай». Пока имя не в открытом наборе, агент не может им воспользоваться в этом прогоне. Просьба модели «разреши shell на минуту» шаг не расширяет. Расширение — новый шаг с новым списком и новой проверкой. Так ошибка инструмента ограничена одним действием, а не всем репозиторием.

Почему закрывают оболочку, почту и удаление?

Оболочка умеет всё, что умеют остальные инструменты, плюс то, о чём вы не просили. Один открытый shell отменяет аккуратный список из 2 имён. Почта уносит текст наружу до вашей проверки. Удаление не откатывается повторным чтением файла. Поэтому эти три имени по умолчанию в запрете, даже если клиент агента показывает их в общем каталоге.

Исключение возможно, но оно узкое. Если шаг — именно отправить уже проверенное письмо, в открытом наборе остаётся отправка, а чтение репозитория как раз закрывают. В наборе снова 1–2 имени, не объединение всех ролей. Смешивать «починить репозиторий» и «разослать письма» в одном прогоне нельзя: приёмка у них разная. Команда проверки должна совпадать с открытым набором, а не с максимальным каталогом клиента.

Как проверить список до запуска агента?

Каркас ниже — проверочный, а не паспорт конкретного клиента MCP. Имена полей своего сервера сверьте с его документацией. Смысл фиксированный: открыты read_file и search, закрыты delete_file, shell и send_mail. Команда падает с кодом не 0, если в открытом наборе появилось запрещённое имя или пропало обязательное. Её запускают до агента, а не после инцидента.

В репозиторий кладут и набор, и команду. Тогда смена «на минуту» видна в diff. Прогон без зелёной команды считайте не начатым. Это дешевле, чем разбирать удалённый файл. На 1 проекте достаточно одного такого файла, на 3 проектах — три отдельных набора, а не один общий «полный доступ».

allow = {"read_file", "search"}
deny = {"delete_file", "shell", "send_mail"}
opened = {"read_file", "search"}
missing = allow - opened
leaked = opened & deny
print("missing", ",".join(sorted(missing)) or "-", "leaked", ",".join(sorted(leaked)) or "-")
raise SystemExit(0 if not missing and not leaked else 1)

Как цена модели меняется, когда инструментов слишком много?

Каждый лишний инструмент тянет описание во вход и следы вызова в выход. DeepSeek R1 при цене 0,55 доллара на входе и 2,19 доллара на выходе за 1 млн токенов на болтливом следе дорожает быстрее, чем на коротком ответе. Окно R1 — 64k. Пять длинных следов легко съедают его до полезного файла. Доступ R1 прямой и без VPN, но способ оплаты в каноне не указан. Прямой контур модели разобран в статье «DeepSeek R1: прямой доступ, локальный запуск и реальные ограничения» (/blog/deepseek-r1-pryamoy-dostup/).

GPT-4o на том же агенте стоит 2,5 / 10 долларов за 1 млн токенов при окне 128k и доступе только через прокси. Оплата OpenAI — Apple In-App Purchase или зарубежная карта. Десять лишних вызовов по 800 токенов выхода — это 0,08 доллара у GPT-4o и около 0,0175 доллара у R1, плюс риск действия, которое нечем откатить. Список из 2 инструментов режет и счёт, и риск. Claude 3.7 Sonnet с ценой 3 / 15 и окном 200k подключают, когда контекст шага больше 128k. Прокси обязателен, thinking — только если ошибка дороже лишнего выхода.

На 30 шагах лишние 800 токенов выхода дают у GPT-4o около 0,24 доллара по ставке 10 долларов за 1 млн. Та же болтливость у R1 по ставке 2,19 доллара — около 0,0526 доллара. Оба числа меньше цены одного ошибочного удаления. Поэтому набор режут даже тогда, когда модель дешёвая.

Где проходит граница между MCP-шагом и сценарием n8n?

MCP-шаг сидит рядом с репозиторием и заканчивается вашей командой. Сценарий n8n ведёт заявку, документ или карточку дальше по цепочке. Как собирать такую цепочку, описано в материале «n8n + AI: конвейер агентов для лидов, документов и CRM» (/blog/n8n-ai-konveyer-agentov/). Инструменты цепочки не копируют в агента репозитория «чтобы было всё под рукой». У цепочки свой набор: принять поле, записать в нужную систему, остановиться на ручной проверке.

Резать работу на шаги до открытия инструментов помогает подход из статьи «Cursor без магии: как собрать первый сервис через задачи, а не одним промптом» (/blog/cursor-pervyy-servis/). Сначала 1 файл и 1 команда, потом набор MCP из 2 имён под эту команду. Обратный порядок — сначала 15 инструментов, потом попытка вспомнить задачу — как раз даёт лишние правки. Рядом на сайте лежат разделы «модели» (/models/), «промпты» (/prompts/) и «гайды» (/guides/). Gemini 2.5 Flash с окном 1M и ценой 0,075 / 0,3 доллара не назначайте моделью агента, пока способ входа из России не подан.

Какие вопросы задают перед открытием инструментов?

Можно ли открыть shell, если агент обещает только посмотреть версию пакета? Нет. Для просмотра хватает read_file и search. Shell перекрывает оба ограничения сразу. Отдельный шаг с shell возможен только с собственной командой приёмки и без удаления рядом.

Какую модель поставить на агента с короткими следами? Если шаг влезает в 64k, DeepSeek R1: 0,55 / 2,19 доллара за 1 млн токенов, без VPN, напрямую. Если нужно окно 128k, GPT-4o: 2,5 / 10, только через прокси. Оплату Apple переносите только на Claude и OpenAI, не на R1.

Что делать, если в каталоге клиента двадцать инструментов? В прогон отдают 2 имени под текущий шаг, остальные остаются закрытыми. Проверочная команда сверяет набор до старта и возвращает не 0 при лишнем имени. Общий каталог из 20 имён шагом не считается.