AI 代理可以透過 MCP 管理雲端基礎設施，但規劃與執行必須分開、憑證範圍必須受限、影響重大的操作要取得批准、寫入能夠安全對應、每項副作用可以追蹤，而且復原經過測試。只有工具探索並不會提供這些控制。
最安全的第一項能力是唯讀清查。先讓規劃和政策路徑在可隨時棄用的環境中正常運作，再加入變更能力。
分開規劃與套用
計劃應指出確切租戶、環境、資源、依賴關係、權限變更、成本和不可逆的副作用。套用計劃則應使用另一項工具，或要求綁定計劃摘要的批准權杖。
不要讓一項通用工具在模型組合請求內容後，再接受 dryRun: false。獨立的套用能力能讓客戶端和政策層清楚看見狀態轉換。
基礎設施即程式碼工具原本就採用這種審查模式。MCP 應保留它，而不是把規劃和執行壓進同一回合的模型操作。
在每一層限制身份
MCP 伺服器驗證客戶端及其代表的用戶身份。政策限制可見或可調用的基礎設施工具。供應商憑證則限定在目標帳戶、項目、環境和操作，最後再由供應商授權實際資源。
Cloudflare 的 MCP 授權架構將身份、授權和代理工作階段狀態分開。MCP 身份驗證指南則套用目前協定對權杖 audience 和轉傳的要求。
不要用組織擁有者權杖執行開發工具。如果供應商無法表達所需的權限範圍，應在前方加入範圍狹窄的控制平面。
將每次寫入視為一項操作
為批准的變更指定一個操作 ID 和冪等鍵，儲存計劃摘要、調用者、目標資源、嘗試、供應商請求 ID、狀態和結果。重試必須參照同一項操作。
逾時後，先檢查供應商和操作狀態，再重複調用。供應商完成工作但客戶端遺失回應時，結果未知很常見。
代理復原指南涵蓋基礎設施以外的檢查點和結果對應。
在產生副作用前要求批准
批准內容應顯示：
- 確切環境和帳戶；
- 建立、變更或移除的每項資源；
- 新增的權限和網絡暴露範圍；
- 預期成本和計費影響；
- 數據遺失或停機風險；
- 操作是否可復原；
- 批准到期時間。
OAuth 同意並不等於日後刪除生產環境的批准。它授予一類存取權，高影響操作仍然需要目前有效的政策決策。
優先使用可復原的操作
供應商支援時，採用軟刪除、snapshot、分階段流量，以及保留先前設定。Railway 的 2026 年 4 月事故報告解釋一個代理找到廣泛權杖後，調用舊版立即刪除路徑的事件。Railway 復原了 volume，並將 API 刪除改為保留 48 小時的軟刪除。
這起事件的問題很具體：憑證範圍和刪除語意都沒有限制副作用。審計日誌只能在事後解釋發生了甚麼，無法阻止刪除。
控制基礎設施輸出範圍
傳回穩定的公開結果，而不是完整的供應商承載數據：
{
"operationId": "op_1842",
"state": "pending",
"resources": ["database:db_73"],
"statusUrl": "/operations/op_1842",
"retryAfterSeconds": 15
}
除非下一個授權步驟確實需要，否則移除供應商憑證、帳戶層級識別碼、內部網絡詳情和除錯標頭。
追蹤控制路徑並設定警示
記錄用戶、代理、工作階段、計劃摘要、批准、工具調用、操作 ID、目標、供應商請求、政策決策、狀態轉換和最終副作用。對下列情況發出警示：
- 開發身份操作生產環境目標；
- 新增廣泛權限；
- 重複刪除或建立嘗試；
- 略過批准或批准過期；
- 高成本資源類別；
- 操作卡在未知狀態。
生產環境代理檢查清單將這些欄位轉化為發佈門檻。
測試受控失敗
在可隨時棄用的項目中，於供應商可能已接受請求後中斷套用調用。繼續工作流程時，確認系統會對應第一次操作。接着在執行途中撤銷代理憑證，並確認之後的操作停止。
也要測試為開發環境建立的計劃無法套用到生產環境，而且修改任何已規劃資源都會令批准失效。
從只限規劃工具開始
先提供清查和規劃能力，套用功能維持不可用。讓代理為真實工作產生計劃，檢查操作人員還需要哪些資訊。只有在批准、重試、追蹤和復原測試都通過後，才加入一項範圍狹窄的套用工具。
下方提示會針對項目中影響最大的工具執行只限規劃審查。