Gouvernance des outils MCP : qui peut appeler quel outil, dans un seul plan de permissions
Agrégez les serveurs MCP externes derrière un point de terminaison /mcp unique de la passerelle — autorisation/refus d’outils et filtres d’étiquettes par groupe de clés, avec appels / violations / sessions entièrement audités.
Ce dont la communauté se plaint réellement
Une fois qu’un framework d’agents est relié à une pile de serveurs MCP, les permissions partent en vrille : aucun contrôle unifié sur qui peut appeler quel outil, et aucune piste d’audit quand quelque chose tourne mal. Configurer chaque agent séparément disperse les identifiants et fait dériver les politiques.
« Comment restreindre Claude Code à ces seuls outils MCP » est une question récurrente pour les équipes plateforme.
Comment GateLLM procède
GateLLM dispose d’un proxy MCP intégré : plusieurs serveurs d’outils MCP externes (HTTP streamable / SSE) sont agrégés derrière un point de terminaison /mcp unique, avec point de terminaison, en-tête d’authentification (transmis tel quel), étiquettes, priorité et chargement paresseux configurés une fois. Les groupes de clés gouvernent les outils avec des listes d’autorisation/refus (le refus l’emporte) et des filtres d’étiquettes — le même plan d’ACL qui gouverne les modèles.
Lorsque la liste d’outils s’allonge, les budgets de contexte la réduisent et la récupération BM25 intégrée localise les outils pertinents. Les appels d’outils MCP, les violations de règles d’accès et l’établissement de session atterrissent tous dans le journal d’audit.
Les identifiants des serveurs MCP ne parviennent jamais à l’agent : l’accès aux outils est accordé et révoqué avec le groupe de clés de la passerelle.
5 leviers qui portent réellement
- Agrégation de serveurs : serveurs MCP HTTP streamable / SSE derrière un point de terminaison /mcp unique
- Chargement paresseux : outils découverts à la première utilisation, réduisant le coût de démarrage et la surface d’attaque
- ACL au niveau des outils : autorisation/refus par groupe de clés, le refus prime sur l’autorisation, filtres d’étiquettes en masse
- Budget de contexte + BM25 : les longues listes d’outils sont réduites au budget, les outils pertinents localisés par recherche
- Audit complet : appels d’outils / violations d’accès / établissement de session journalisés et exportables