MCP-серверы: какие подключить и как не дать агенту лишнего

Десять серверов с открытым кодом и известным разработчиком, которые закрывают типовые задачи. Семь эталонных от группы, которая ведет MCPMCP MCP (Model Context Protocol) это открытый стандарт, через который ИИ-приложения подключаются к инструментам и данным: файлам, CRM, базам, сервисам. Подробнее в словаре: Filesystem (файлы в разрешенных папках), Git (история и изменения репозитория), Fetch (загрузка веб-страницы в текст), Memory (память агентапамять агента Память агента это все, что ИИ-агент помнит помимо текущего запроса: ход разговора, факты о клиенте, прошлые решения и уроки из ошибок. Подробнее в словаре между сессиями), Time (время и часовые пояса), Sequential Thinking (пошаговое рассуждение) и Everything (тестовый сервер для проверки своего клиента).

Еще три от крупных разработчиков: Playwright MCP от Microsoft управляет браузером, GitHub MCP Server от GitHub работает с репозиториями и задачами, Context7 от Upstash подставляет документацию библиотек. Порядок в списке идет от стандарта к серверам и дальше к программам, в которые их подключают.

MCP (Model Context Protocol) это открытый стандарт подключения ассистента к инструментам. Anthropic открыла его в ноябре 2024 года, а 9 декабря 2025 года передала в Agentic AI Foundation при Linux Foundation, чтобы стандартом не управляла одна компания.

Устроено так: ассистент (клиент) подключается к MCP-серверу, сервер сообщает, какие у него есть инструменты, а модель вызывает их, когда это нужно для задачи. Один и тот же сервер работает в Claude, Cursor, ChatGPT, Gemini и других программах, которые поддерживают MCP.

По данным Anthropic на декабрь 2025 года, публичных MCP-серверов было больше 10 000. Поэтому вопрос не в том, найдется ли сервер под задачу, а в том, кому из авторов можно доверить доступ к своим данным. В словаре есть статьи о протоколе MCP и об MCP-сервере как программе.

Браузер. Playwright MCP открывает страницы, нажимает кнопки, заполняет формы. Он читает дерево доступности страницы, а не скриншот, поэтому модель зрения ему не нужна, а действия на странице повторяются одинаково. Полезно для проверки своего сайта после изменений.

Код и задачи. GitHub MCP Server читает репозитории, задачи и запросы на слияние, а при разрешении создает их. Для начала включайте режим --read-only: агент видит все, но ничего не меняет.

Документация. Context7 подставляет в запрос агента документацию той версии библиотеки, с которой вы работаете. Это снижает число ошибок, когда модель пишет код по устаревшему описанию.

Файлы. Filesystem работает только с папками, которые вы указали при запуске, и отказывает в доступе ко всему остальному. В Docker папку можно подключить только для чтения.

Базы данных. Эталонные серверы PostgreSQL и SQLite перенесены в архив, обновлений безопасности для них нет. Для базы компании надежнее свой сервер с доступом только на чтение к нужным таблицам.

MCP-сервер работает с теми правами, которые вы ему дали: токеном GitHub, доступом к папке, ключом от CRM. Если агент ошибся или его обманули, он сделает это с вашими правами.

Главный риск называется промпт-инъекцией: на странице, в письме или в задаче спрятана инструкция для модели, и агент ее выполняет. Anthropic прямо предупреждает, что вредоносный сервер может прятать такие инструкции. Microsoft пишет, что Playwright MCP не является границей безопасности.

Второй риск в данных. 2 мая 2023 года Samsung запретила сотрудникам генеративный ИИгенеративный ИИ Генеративный ИИ (generative AI) это нейросети, которые создают новый контент: тексты, изображения, музыку, видео и программный код по описанию на обычном языке. Подробнее в словаре после того, как инженеры загрузили в ChatGPT внутренний исходный код. Сервер с доступом к коду и документам упрощает такую утечку: агенту достаточно одного вызова.

Какие права давать агенту в CRM и телефонии и почему это стало срочным вопросом, мы разобрали в статье о том, какие права давать ИИ-агенту.

Пять вопросов перед установкой любого сервера:

1. Кто автор. Ставьте серверы от разработчика самого сервиса (GitHub, Microsoft) или из репозитория проекта MCP. Сервер неизвестного автора без истории не ставьте.

2. Поддерживается ли он. Архивные серверы не получают обновлений безопасности, это прямо написано в архиве проекта MCP.

3. Какие инструменты он дает. Прочитайте список: если серверу для чтения задач нужен инструмент удаления, это повод отказаться.

4. Какие права получает токентокен Токен это кусочек текста: слово, часть слова или знак, с которыми работает языковая модель. Подробнее в словаре. Давайте минимальные права и отдельный токен на каждый проект, как советует GitHub.

5. Подтверждение вызовов. Оставьте включенным запрос разрешения перед вызовом инструмента: в Cursor он включен по умолчанию.

Для важных подключений прочитайте код сервера или попросите это сделать разработчика. Cursor в своей документации дает такой же совет.

Для систем компании готовых серверов с открытым кодом и понятными правами обычно нет, и чужой сервер к учетной системе ставить рискованно. Надежнее написать свой: он дает агенту ровно те действия, которые нужны процессу, например «найти контрагента» и «показать остаток», но не «удалить документ».

Свой сервер работает на сервере компании, ведет журнал каждого вызова и проверяет права пользователя, от имени которого действует агент. Данные 1С и CRM при этом не уходят в чужие сервисы. Как мы подключаем ИИ к 1С, описано на странице об интеграции с 1С.