Zaštita MCP poslužitelja tvrtke svodi se na tri pitanja, odgovorena redom. Tko se uopće može spojiti? To je OAuth. Do čega spojeni klijent ikad može doći? To je izolacija radnog prostora. I od onoga što je dostupno, tko vidi koji dio? To je opseg pristupa — privatno ili javno, i korisnička mjesta. Postavi sva tri ispravno i „izložili smo znanje tvrtke AI klijentima” prestaje biti zastrašujuća rečenica. Promaši jedno i druga dva te neće spasiti.

Evo što svaki sloj znači u praksi i što provjeriti na bilo kojoj platformi koja za tebe hostira MCP poslužitelj.

Sloj 1: OAuth 2.1, prema aktualnoj specifikaciji

MCP se za autorizaciju odlučio za OAuth 2.1, a riječ aktualna u toj rečenici nosi stvarnu težinu. Specifikacija se mijenjala, a nedavne revizije zatvorile su stvarne rupe. Dvije stavke vrijedi znati po imenu, čak i ako ih nikad sam ne implementiraš.

Provjera izdavatelja (iss) znači da klijent provjerava je li autorizacijski odgovor zaista stigao od autorizacijskog poslužitelja s kojim je započeo. Bez nje zlonamjerni poslužitelj može igrati igre čovjeka u sredini — takozvane mix-up napade — i otići s kodom namijenjenim nekom drugom. Dosadno, nužno i lako za preskočiti ako sve pišeš ručno.

Client ID Metadata Documents (CIMD) način su na koji se klijenti predstavljaju tvom poslužitelju. Umjesto da se svaki MCP klijent unaprijed registrira na svakom MCP poslužitelju — što ne skalira dalje od demonstracije — klijent predočuje URL koji ga opisuje, a poslužitelj dohvaća i provjerava te metapodatke. To je dio koji tvom poslužitelju omogućuje rad s Claudeom i s MCP klijentima za koje još nisi čuo, bez otvorene registracije za svakoga.

SuperCognit implementira oboje, prema aktualnoj specifikaciji, na svakom objavljenom poslužitelju. Ako procjenjuješ bilo koji hostirani MCP proizvod, pitaj upravo za ove dvije stavke. „Podržavamo OAuth” je odgovor iz 2023. na pitanje iz 2026.

Sloj 2: izolacija radnog prostora

Autorizacija odlučuje tko ulazi kroz vrata. Izolacija odlučuje što je iza vrata. Svaki SuperCognit MCP poslužitelj ograničen je na svoj radni prostor: njegove baze znanja, njegove alate, njegove pretplatnike. Token za poslužitelj jednog radnog prostora ne vrijedi ništa na poslužitelju drugog, i ne postoji upit, ma koliko kreativan, koji dohvaća susjedove dokumente — granica je strukturna, a ne filtar primijenjen u trenutku odgovaranja.

To je važnije nego što zvuči. Sustavi za dohvaćanje odgovaraju iz kojeg god korpusa mogu pretraživati. Ako je granica korpusa meka — recimo ID korisnika u filtru upita — tada sigurnost svakog odgovora počiva na tome da nitko nikad ne napiše jedan loš upit. Čvrsta granica po radnom prostoru znači da zanimljiv kvar nije moguć, a ne samo malo vjerojatan.

Sloj 3: tko što vidi

Kada su perimetar i zidovi postavljeni, preostale odluke su tvoje — i to su pravila, a ne inženjering:

  • Privatno — poslužitelj je interni mozak tvrtke: SOP-ovi, pravila, podaci o proizvodima, dostupni samo tvom vlastitom timu. Ispravna zadana postavka za sve što ne bi stavio na svoju web stranicu.
  • Javno — svatko se može spojiti. Ispravno za dokumentaciju, podatke o proizvodima i sve na što aktivno želiš da AI klijenti u tvoje ime odgovaraju točno.
  • Plaćeno — javno, ali iza pretplate po korisničkom mjestu. Stripe pretplate, računi i isplate ugrađeni su, a SuperCognit je merchant of record (prodavatelj u evidenciji). Korisničko mjesto je osnovni element kontrole pristupa s cijenom: oduzmi mjesto i pristup odlazi s njim.

Korisna disciplina jest najprije odlučiti o razini, a tek zatim o sadržaju. Poslužitelj koji u jednoj bazi znanja miješa javne podatke o proizvodima s internim kontaktima za eskalaciju već je napravio svoju najgoru pogrešku, kako god izgledao njegov OAuth.

Što ti to donosi iz dana u dan

Zaposlenik spoji firmeni poslužitelj u Claudeu, jednom odobri pristup i pita kako funkcionira postupak iznimke za povrat. Kupac na javnom poslužitelju pita što uključuje koji plan — i ne može doći do SOP-ova, jer SOP-ovi žive na drugom poslužitelju u drugom opsegu, a ne iza upute koja kaže molim te, ne spominji ih. Kontrola pristupa arhitekturom pobjeđuje kontrolu pristupa uputama. Modeli dobro slijede upute, ali „dobro” nije sigurnosna granica.

Ništa od ovoga nije zahtijevalo da tvoj tim pokreće autorizacijski poslužitelj, rotira ključeve ili čita dnevnik promjena specifikacije. To je poštena ponuda: sigurnosni slojevi firmenog MCP-a upravo su dio za koji želiš da bude dosadan, standardan i nečiji posao s punim radnim vremenom.