Cloudflare hat angekündigt, WriteGuard in einer privaten Betaversion für seine MCP-Server-Gateways bereitzustellen, um eine zentrale Kontrollschicht für die von KI-gestützten Agenten ausgeführten Aktionen zu schaffen. Das Tool verbindet Tool-Richtlinien, die Identität des Benutzers und des Agenten, die Zuordnung von Vorgängen zu ihrer Quelle sowie eine zentrale Prüfung. Dadurch kann eine Anfrage durchgelassen, mit Metadaten angereichert oder vor dem Start des für ihre Ausführung zuständigen Handlers blockiert werden.
Das Problem, auf das WriteGuard abzielt
Cloudflare verweist auf ein Szenario, in dem Fehler-Tickets immer schneller geschlossen werden, während es in den Protokollen so aussieht, als führe derselbe Ingenieur alle Vorgänge aus. In dem Beispiel hatte der Ingenieur mehrere Agenten, die in parallelen Sitzungen arbeiteten, und einer von ihnen führte eine Bereinigungsaufgabe mit einer zu weit gefassten Aufforderung aus. Es dauerte eine halbe Stunde, den verantwortlichen Agenten zu identifizieren. Außerdem wurde die Korrektur des Zustands des Ticket-Systems komplizierter, weil manuelle Änderungen und Änderungen durch Agenten unter dem Namen desselben Ingenieurs protokolliert wurden, während die Netzwerkprotokolle nicht zwischen den verschiedenen Agentensitzungen unterschieden.
Cloudflare ist der Ansicht, dass die Risiken bei anderen Systemen noch größer sein können: Ein Agent mit Zugriff auf Vertragssoftware könnte eine Vereinbarung ändern, über das Support-System Hunderte Antworten an Kunden senden oder ganze Tabellen aus einer Datenbank löschen. Daher wollte sich das Unternehmen nicht darauf verlassen, dass jeder Mitarbeiter jeden Agenten korrekt konfiguriert oder jeden Tool-Aufruf überwacht.
Die Rolle von MCP in der internen Architektur
Die Abkürzung MCP steht für Model Context Protocol. Dabei handelt es sich um einen Standard, der zur Verbindung von KI-Anwendungen mit externen Tools und Datenquellen verwendet wird. Ein MCP-Server stellt Tools bereit, die verbundene Clients nutzen können. Jedes Tool verfügt über einen Namen, eine Beschreibung, ein Eingabeschema und einen Handler, der die Aufgabe ausführt. Wenn der Agent ein Tool auswählt, sendet der MCP-Client dessen Aufruf an den Server, der seinerseits mit der nachgelagerten Anwendung oder dem nachgelagerten System interagiert.
Cloudflare verwendet MCP-Server innerhalb der Infrastruktur, die seine internen Agenten unterstützt, über lokale Clients wie OpenCode und Cloudflare OS sowie über langlebige Agentendienste. Diese Server laufen hinter Cloudflare Access und werden über ein einziges internes Gateway für MCP-Server erreicht. Als das Unternehmen seine interne Architektur für KI-Engineering im April beschrieb, verband das Gateway 13 Server. Zum Zeitpunkt der Veröffentlichung des Beitrags war die Zahl auf 27 Server gestiegen, während die Teams weiterhin jeden Monat neue Server bereitstellen.
Vom Lesen zur Ausführung von Aktionen
Die Server starteten im Nur-Lese-Modus. Dadurch konnten die Teams Jira, GitLab, das Wiki, Betriebssysteme und operative Systeme durchsuchen und Informationen anzeigen, ohne sie zu ändern. Mit der Verbesserung der Modelle und der zunehmenden Erfahrung der Teams im Umgang mit künstlicher Intelligenz baten Mitarbeiter aus den Bereichen Engineering, Produkt, Design, Vertrieb und Customer Success um Tools, die Aktionen ausführen können.
Vor der Erweiterung der Schreibberechtigungen wollte Cloudflare die Schreibaktionen, die Agenten ausführen können, zentral kontrollieren, Agentenkennzeichnungen in nachgelagerten Anwendungen anzeigen und einen Prüfpfad schaffen, der die Untersuchung ihrer Aktivitäten erleichtert. Das Unternehmen erklärt, dass clientseitige Kontrollen wie Skills oder Rückfrageaufforderungen keine ausreichende Grundlage bieten, da sich ihr Verhalten je nach Laufzeitumgebung unterscheidet und Benutzer sie deaktivieren können.
Zentrale Richtlinien, Zuordnung und Prüfung
WriteGuard verwendet die Einstellungen jedes Tools und den Kontext der Anfrage, um die geeignete Aktion zu bestimmen. Es kann den Aufruf unverändert durchlassen, bei unterstützten Schreibvorgängen Zuordnungsdaten des Agenten hinzufügen und ein um nicht notwendige Daten bereinigtes Prüfereignis erstellen oder die Aktion blockieren, bevor ihr eigener Handler ausgeführt wird.
Das Tool ermöglicht es, die Richtlinie neben jedem Tool zu definieren, ohne den zugrunde liegenden MCP-Server zu ändern. Jedes Tool erhält eine Risikostufe, einen Aktivierungs- oder Deaktivierungsstatus sowie Einstellungen für die Kennzeichnung. Die Risikostufen bestimmen, ob die Aktion protokolliert wird und ob der Tool-Aufruf zulässig ist. Außerdem ermöglichen sie Abfragen im Prüfprotokoll nach Risikostufe. Über die Kennzeichnungseinstellungen lassen sich die Zuordnung des Agenten hinzufügen und das für die nachgelagerte Anwendung am besten geeignete Textformat auswählen, ohne dass am MCP-Server selbst Programmänderungen erforderlich sind.
Cloudflare erklärt, dass die derzeit verfügbare Version eine private Betaversion für MCP-Server-Gateways ist. Die Quelle nannte keinen Termin für eine allgemeine Verfügbarkeit und machte keine weiteren Angaben zum Umfang des Zugangs.