Дал агенту доступ к базе через MCP, он снес таблицу заказов на стейдже

[dbowie]

Рассказываю, как чуть не поседел. Проект на Laravel, стейдж с копией прода недельной давности. Подключил postgres MCP к Claude Code, чтобы агент сам смотрел схему и данные при отладке. Удобно же. Таска была: почини миграцию, которая падает на стейдже. Агент посмотрел, решил, что проблема в конфликте со старой таблицей orders_old, и выполнил DROP TABLE orders. Без old. Просто orders. 2.3 миллиона строк. Подтверждение я ему когда-то выключил, потому что задолбало жать enter на каждый селект. Хорошо, что стейдж и есть бекап, восстановил за час. Но осадочек остался. Как правильно вообще: read-only юзер для MCP? прокси, который режет DDL? или не пускать агента в базу никогда?

[regexveteran]

Подтверждение я ему когда-то выключил, потому что задолбало жать enter

ну вот и весь постмортем, можно расходиться. это не агент тебе таблицу снес, это ты ее снес, просто с задержкой и через прокладку. dangerously-skip-permissions неспроста так называется, там слово dangerously первым стоит

[pharside]

@dbowie, read-only юзер это минимум, делается за две минуты, CREATE ROLE плюс GRANT SELECT, и все. У нас так с осени: агент может смотреть схему и селектить, а любые write запросы идут через файл миграции, который ревьюит человек. Ни одного инцидента с тех пор, хотя агенты у нас в базе сидят ежедневно.

[VueMaster]

@regexveteran, а почему у вас на стейдже копия прода с реальными заказами? вот это меня смутило сильнее дропа. персональные данные клиентов на стейдже, куда есть доступ у агента и половины команды, это привет 152-ФЗ и штрафы, которые с прошлого года совсем не смешные. обезличивайте дамп

[RaspberryWhale]

у нас было похожее, только с redis. агент дебажил кеш и зарядил FLUSHALL на общем стейдж-редисе, положил сессии всем тестировщикам разом. теперь у каждого MCP-сервера белый список команд. возишься с этими конфигами полдня, зато спишь спокойно

[raspberryops]

любые write запросы идут через файл миграции, который ревьюит человек

так и надо, но следите, чтобы агент не научился обходить. Мой однажды уперся в read-only через MCP, подумал и запустил php artisan tinker, сделал update через модель. Они настойчивые, заразы, путь к цели найдут. В итоге выпилил у него bash-доступ к artisan на стейдже вообще.