Cloudflare la et policy-lag foran skrivende MCP-verktøy

Feilsakene begynte å lukke seg ved lunsjtid. Ingen reagerte, for Joe hadde flyttet noen saker til ferdig, og Joe hadde en produktiv dag. Ved fire på ettermiddagen var tusenvis av saker lukket, alle av Joe. Det tok en halvtime å finne ut hvilken av bakgrunnsagentene hans over tre parallelle økter som hadde en litt for bred prompt. Verre var oppryddingen: sakssystemet førte alt på Joe uansett, og nettverksloggene skilte ikke én agentøkt fra en annen.

Cloudflare beskriver scenarioet som utgangspunktet for WriteGuard, et delt lag for policy, attribusjon og revisjon som nå går i privat beta for Cloudflares MCP-serverportaler. Internt vokste portalen fra 13 tilkoblede MCP-servere i april til 27 i dag, og alle startet som skrivebeskyttede.

«Vi kunne ikke stole på at hver ansatt konfigurerer hver agent perfekt eller følger med på hvert verktøykall» — Cloudflare i bloggposten om WriteGuard

Hvert verktøy får en risikoklasse, en av- eller påskrudd tilstand og en merkekonfigurasjon. Klassene går fra Read Only, gjennom Minimal Impact og Contained Write, til Critical. Klassen avgjør både om kallet logges og om det får kjøre. Merkingen setter agent-attribusjon inn i et konfigurert felt i formatet mottakersystemet forstår, uten at MCP-serveren endres. GitLab-eksempelet er tydelig: get_merge_request slipper gjennom urørt, create_mr_note får attribusjon påført kommentaren, mens merge_mr er klassifisert Critical og skrudd av, slik at kallet blokkeres før handleren kjører og forsøket logges.

Cloudflare valgte bort egne agentkontoer. Agenten arver den ansattes tilganger gjennom Access og OAuth, og WriteGuard legger MCP-klient- og øktkontekst oppå den menneskelige identiteten. Revisjonshendelsene sendes asynkront til en intern Worker og inneholder server, verktøy, risikoklasse, utfall, bruker, klient og varighet.

Hva bør du gjøre?

1. Lag en risikoklassifisering per verktøy før du åpner for skriving. Det viktige skillet går mellom en handling som kan angres og en som utløser en pipeline.
2. Ikke stol på klientsiden. Cloudflare peker på at skills og elicitation-prompter oppfører seg ulikt per klient og kan slås av av brukeren.
3. Skriv agentidentitet inn i selve handlingen i mottakersystemet, ikke bare i loggen din. Uten det kan ingen skille agentens endringer fra menneskets i etterkant.