AI 代理可以透過 MCP 管理雲端基礎設施，但規劃與執行必須分開、憑證範圍必須受限、影響重大的動作要取得核准、寫入能安全對應、每項副作用可追蹤，而且復原經過測試。只有工具探索並不會提供這些控制。
最安全的第一項能力是唯讀清查。先讓規劃與政策路徑在可拋棄環境中正常運作，再加入變更能力。
分開規劃與套用
計畫應指出確切租戶、環境、資源、相依性、權限變更、成本及不可逆的副作用。套用計畫則應使用另一項工具，或要求綁定計畫摘要的核准權杖。
不要讓一項通用工具在模型組合請求內容後，再接受 dryRun: false。獨立的套用能力能讓用戶端與政策層清楚看到狀態轉換。
基礎設施即程式碼工具原本就採用這種審查模式。MCP 應保留它，而不是把規劃與執行壓進同一回合的模型操作。
在每一層限制身分
MCP 伺服器驗證用戶端與其代表的使用者身分。政策限制可見或可呼叫的基礎設施工。供應商憑證則限定在目標帳戶、專案、環境及動作，最後再由供應商授權實際資源。
Cloudflare 的 MCP 授權架構將身分與授權和代理工作階段狀態分開。MCP 身分驗證指南則套用目前協定對權杖 audience 及轉傳的要求。
不要用組織擁有者權杖執行開發工具。如果供應商無法表達所需的權限範圍，應在前方加入範圍狹窄的控制平面。
將每次寫入視為一項操作
為核准的變更指定一個操作 ID 與冪等鍵，保存計畫摘要、呼叫者、目標資源、嘗試、供應商請求 ID、狀態及結果。重試必須參照同一項操作。
逾時後，先檢查供應商與操作狀態，再重複呼叫。供應商完成工作但用戶端遺失回應時，結果未知很常見。
代理復原指南涵蓋基礎設施以外的檢查點與結果對應。
在產生副作用前要求核准
核准內容應顯示：
- 確切環境與帳戶；
- 建立、變更或移除的每項資源；
- 新增的權限及網路暴露範圍；
- 預期成本與計費影響；
- 資料遺失或停機風險；
- 動作是否可復原；
- 核准到期時間。
OAuth 同意並不等於日後刪除正式環境的核准。它授予一類存取權，高影響動作仍需要目前有效的政策決策。
優先使用可復原的操作
供應商支援時，採用軟刪除、snapshot、分階段流量，以及保留先前設定。Railway 的 2026 年 4 月事故報告說明一個代理找到廣泛權杖後，呼叫舊版立即刪除路徑的事件。Railway 復原了 volume，並將 API 刪除改為保留 48 小時的軟刪除。
這起事件的問題很具體：憑證範圍與刪除語意都沒有限制副作用。稽核日誌只能在事後解釋發生了什麼，無法阻止刪除。
控制基礎設施輸出範圍
回傳穩定的公開結果，而不是完整的供應商承載資料：
{
"operationId": "op_1842",
"state": "pending",
"resources": ["database:db_73"],
"statusUrl": "/operations/op_1842",
"retryAfterSeconds": 15
}
除非下一個授權步驟確實需要，否則移除供應商憑證、帳戶層級識別碼、內部網路細節及偵錯標頭。
追蹤控制路徑並設定警示
記錄使用者、代理、工作階段、計畫摘要、核准、工具呼叫、操作 ID、目標、供應商請求、政策決策、狀態轉換及最終副作用。對下列情況發出警示：
- 開發身分操作正式環境目標；
- 新增廣泛權限；
- 重複刪除或建立嘗試；
- 略過核准或核准過期；
- 高成本資源類別；
- 操作卡在未知狀態。
正式環境代理檢查清單將這些欄位轉成發布門檻。
測試受控失敗
在可拋棄專案中，於供應商可能已接受請求後中斷套用呼叫。繼續工作流程時，確認系統會對應第一次操作。接著在執行途中撤銷代理憑證，並確認後續動作停止。
也要測試為開發環境建立的計畫無法套用到正式環境，而且修改任何已規劃資源都會讓核准失效。
從僅規劃工具開始
先提供清查與規劃能力，套用功能維持不可用。讓代理為真實工作產生計畫，檢查操作人員還需要哪些資訊。只有在核准、重試、追蹤及復原測試都通過後，才加入一項範圍狹窄的套用工具。
下方提示詞會針對專案中影響最大的工具執行僅規劃審查。