Agentomy MCP Gateway

Открытая часть Agentomy — слоя управления для ИИ-агентов в регулируемых предприятиях. Смотрите другие на github.com/getagentomy.

Управляет любым stdio MCP-сервером, располагаясь между агентом и сервером. Каждый вызов tools/call проверяется на соответствие вашей политике до того, как достигнет сервера. Отказ обрабатывается шлюзом и никогда не пересылается, поэтому побочный эффект не происходит.

Ничего в вышестоящем сервере не меняется. Он не патчится, не форкается и никогда не узнаёт, что им управляют.

Почему вмешиваться, а не наблюдать

Сайдкар, который наблюдает за MCP-трафиком и сообщает о нём, создаёт запись о том, что ему не удалось остановить. Нахождение на линии связи превращает отчёт в отказ.

Related MCP server: jamjet-policy

Установка и запуск

# Instead of launching the MCP server directly:
#   my-mcp-server --flag
# launch it through the gateway:
AGENTOMY_ENDPOINT=https://your-agentomy \
AGENTOMY_API_KEY=... \
  agentomy-mcp-gateway, my-mcp-server --flag

В MCP-конфигурации агента замените command и args сервера:

{
  "mcpServers": {
    "dev-tools": {
      "command": "agentomy-mcp-gateway",
      "args": ["--", "the-original-command", "--its", "--flags"],
      "env": { "AGENTOMY_ENDPOINT": "https://your-agentomy", "AGENTOMY_API_KEY": "..." }
    }
  }
}

Это вся интеграция. Одно изменение конфигурации на агента, выполняемое оператором.

Что он делает с протоколом

Запросы обрабатываются в порядке поступления. Параллельное принятие решений позволило бы более позднему вызову достичь сервера раньше, чем был разрешён более ранний, что является ошибкой переупорядочивания, которая проявляется только под нагрузкой.

Отказ по умолчанию и чем это вам обходится

Каждый путь отказа приводит к отказу:

Честный компромисс: если платформа недоступна, управляемые инструменты перестают работать. Это правильное поведение для компонента управления, и это реальная связность по доступности. Запускайте платформу соответственно.

Причины различаются намеренно. Оператор, видящий governance_unreachable, имеет дело с отказом; видящий policy_denied — с вопросом политики. Сведение их к «denied» сделало бы их неразличимыми именно в тот момент, когда разница важна.

Отсутствующее поле authorized приводит к отказу, а не интерпретируется как истинность, потому что проверка истинности превращает любую неожиданную полезную нагрузку, включая объект ошибки, в разрешение.

Чего он не делает

Он управляет действиями, а не обнаружением. tools/list проходит насквозь. Сужение того, что агент может видеть, оставляя неуправляемым то, что он может делать, было бы театром не в том месте.

Он не переписывает результаты. Шлюз выносит решения по запросам; если заставить его редактировать ответы, он станет участником разговора, а не воротами на нём.

Он не проверяет аргументы семантически. Политика получает имя инструмента и ключи аргументов, а не значения. Политика на уровне аргументов — это забота платформы, и отправка полных значений аргументов в конечную точку принятия решений поместила бы содержимое файлов и команды оболочки во вторую систему.

Лицензия

Apache-2.0.