MCP para dados: pedir confirmação não é o mesmo que negar uma escrita

O Data Agent Kit chegou à disponibilidade geral reunindo ferramentas MCP para mais de quinze serviços de dados do Google Cloud e 37 skills abertas sob Apache 2.0, segundo o InfoQ.[8] O kit funciona em ferramentas de diferentes fornecedores; o software é gratuito, mas o consumo dos serviços cloud continua sendo cobrado.[8]

A parte mais importante não é a quantidade de integrações. É a diferença entre instruir o agente a pedir confirmação e impedir uma operação na camada que autoriza a chamada. Essas duas coisas deveriam ter testes e responsáveis distintos.

O que muda para quem desenvolve

A reportagem descreve políticas IAM capazes de negar tools.call quando tool.isReadOnly é falso, com escopo de organização, pasta ou projeto.[8] Também menciona a possibilidade de usar uma conta de serviço somente de leitura por impersonação.[8]

Minha análise: uma skill descreve o procedimento esperado; a autorização define quais efeitos o executor pode produzir. A instrução pode continuar útil para explicar o risco e orientar a interação, mas não deve receber crédito por um bloqueio que precisa sobreviver ao erro do modelo.

Existe ainda uma terceira camada: saber o que aconteceu depois de uma chamada. O texto aponta a ausência, nos resultados atuais, de um contrato de idempotência, estado de commit e reversão.[8] Uma permissão correta não esclarece, sozinha, se uma escrita cujo retorno expirou foi efetivada.

Como aplicar

Comece com uma identidade de leitura e um conjunto pequeno de consultas conhecidas. Prepare um projeto de teste e tente uma operação que deveria ser negada. Verifique a resposta e o estado do alvo. O teste só passa se a negativa for da infraestrutura e nenhum dado tiver mudado.

Em seguida, avalie a qualidade das consultas: tabela escolhida, filtros, volume lido e custo. Uma ferramenta somente de leitura ainda merece orçamento e observabilidade. Não libere alterações só porque as respostas textuais parecem convincentes.

Para automações próprias que venham a escrever, registre uma intenção identificável e confira o resultado antes de repetir uma chamada incerta. Quando o serviço não fornecer idempotência, documente o procedimento de reconciliação em vez de assumir que timeout significa ausência de efeito.

Cuidados e limites

As ferramentas bloqueadas continuam aparecendo na listagem, a proteção descrita cobre servidores MCP do Google Cloud e alguns filtros só estão disponíveis pelo gcloud.[8] Portanto, não generalize essa política para qualquer servidor MCP.

Fixe as versões das skills avaliadas e repita os testes de negação quando mudar permissões ou integrações. A contrapartida de começar restrito é reduzir o que a demonstração consegue fazer. É um limite desejável quando a alternativa é descobrir o alcance de uma credencial por meio de uma escrita acidental.

Fonte

[8] Fonte: InfoQ