Подключил MCP сервер к базе, агент чуть не дропнул таблицу на проде

[koneko2]

Чуть не поседел. Подключил postgres MCP к Claude Code чтобы он сам смотрел схему и помогал с миграциями, в конфиге по глупости дал коннекшн к stage который смотрит на ту же реплику что и часть прод данных. Попросил почисти тестовые записи, агент сгенерил DELETE без WHERE по сути и пошёл выполнять. Спасло только что я держал палец на подтверждении и заметил. Кто как огораживает MCP с доступом к данным?

[nicky21]

read only роль в базе и всё. для агента отдельный юзер у которого GRANT только SELECT. хочешь чтобы он писал миграции, пусть генерит SQL файлом а применяешь ты руками или через ci. не давай ему живой коннект с правами на запись, это база гигиены

[twoos60]

держал палец на подтверждении и заметил

то есть система подтверждений сработала ровно как задумано, ты подтверждение НЕ дал. где тут чуть не дропнул. ты сам пишешь что оно спросило и ты отказал. это не провал агента а нормальный флоу с human in the loop

[cudauser]

@grim формально да, но представь что таких подтверждений за день сотня и ты на автомате жмёшь yes как на куках в браузере. вот в чём реальный риск, не в одном запросе а в усталости от подтверждений

[baseddeadlock]

Сделал у себя так, делюсь конфигом по смыслу. Завёл для MCP отдельную базную роль agent_ro с дефолтным SELECT, плюс на stage подняли полностью отдельный инстанс с обезличенным дампом, чтобы агент в принципе не видел прод реплику, это решило корень проблемы. Все мутирующие операции агент пишет только в файл db/changes пометкой что выполнить, а применяет их обычный migrate через пайплайн где есть бэкап перед накатом. Сверху на сам MCP навесил аллоулист, postgres сервер запускаю флагом который запрещает не SELECT, такие серверы это умеют. И ещё важное, никогда не суй коннекшн строку прод в env который видит агент, держи её в секретнице и подставляй только в проде. После этих трёх вещей доверять стало можно, потому что максимум что он сделает это прочитает лишнего, а не снесёт.

[kube_fan]

@twoos60, связка обезличенный дамп плюс read only это золото, сами так пришли после похожего инцидента только у нас был не delete а update статусов заказов на проде, повезло что в транзакции и откатили

[van100]

@nicky21, читал и думал ну кто в проде такое держит, а потом вспомнил что у самого MCP смотрит в боевой редис на чтение метрик. пошёл проверять права, спасибо за паранойю