Cloudflare a annoncé le début de la mise à disposition de WriteGuard en version bêta privée pour ses passerelles de serveurs MCP, afin de fournir une couche centralisée de contrôle des actions exécutées par les agents alimentés par l’intelligence artificielle. L’outil combine les politiques des outils, l’identité de l’utilisateur et de l’agent, l’attribution des opérations à leur source et l’audit centralisé, ce qui permet de laisser passer la requête, de l’enrichir avec des données d’identification ou de la bloquer avant l’exécution du gestionnaire chargé de la traiter.
Le problème ciblé par WriteGuard
Cloudflare cite un scénario dans lequel les tickets de bogues commencent à être clôturés à un rythme accéléré, tandis que les journaux donnent l’impression que c’est le même ingénieur qui exécute toutes les opérations. Dans cet exemple, l’ingénieur disposait de plusieurs agents fonctionnant dans des sessions simultanées, et l’un d’eux a exécuté une tâche de nettoyage dont la portée de la requête était trop large. Il a fallu une demi-heure pour identifier l’agent responsable. La correction de l’état du système de tickets est également devenue plus complexe, car les modifications manuelles et celles des agents étaient enregistrées au nom du même ingénieur, tandis que les journaux réseau ne distinguaient pas les différentes sessions des agents.
Cloudflare estime que les risques peuvent être encore plus importants dans d’autres systèmes : un agent disposant d’un accès aux logiciels de gestion des contrats pourrait modifier un accord, envoyer des centaines de réponses aux clients via le système d’assistance ou supprimer des tables entières d’une base de données. L’entreprise ne souhaitait donc pas dépendre de la capacité de chaque employé à configurer correctement chaque agent ou à surveiller chaque appel d’outil.
Le rôle de MCP dans l’architecture interne
L’abréviation MCP signifie Model Context Protocol, un standard utilisé pour relier les applications d’intelligence artificielle à des outils et à des sources de données externes. Un serveur MCP fournit des outils que les clients connectés peuvent utiliser ; chaque outil possède un nom, une description, un schéma d’entrée et un gestionnaire qui exécute la tâche. Lorsque l’agent sélectionne un outil, le client MCP envoie un appel au serveur, qui interagit à son tour avec l’application ou le système en aval.
Cloudflare utilise des serveurs MCP dans l’architecture qui prend en charge ses agents internes, au moyen de clients locaux tels qu’OpenCode et Cloudflare OS, ainsi que de services d’agents fonctionnant sur de longues périodes. Ces serveurs sont placés derrière Cloudflare Access et accessibles par l’intermédiaire d’une passerelle interne unique pour les serveurs MCP. La passerelle reliait 13 serveurs lorsque l’entreprise a décrit son architecture interne d’ingénierie de l’intelligence artificielle en avril. Ce nombre est ensuite passé à 27 au moment de la publication de l’article, les équipes continuant à lancer de nouveaux serveurs chaque mois.
De la lecture seule à l’exécution d’actions
Les serveurs ont commencé en mode lecture seule, permettant aux équipes d’effectuer des recherches dans Jira, GitLab, le wiki et les systèmes opérationnels et d’afficher les informations sans les modifier. À mesure que les modèles se sont améliorés et que les équipes ont acquis davantage d’expérience dans l’utilisation de l’intelligence artificielle, des employés de l’ingénierie, des produits, du design, des ventes et de la réussite client ont demandé des outils capables d’exécuter des actions.
Avant d’étendre les autorisations d’écriture, Cloudflare souhaitait contrôler centralement les actions d’écriture que les agents pouvaient exécuter, afficher les identifiants des agents dans les applications en aval et créer une piste d’audit facilitant l’enquête sur leur activité. Selon l’entreprise, les contrôles côté client, tels que les compétences ou les invites de clarification, ne constituent pas une base suffisante, car leur comportement varie selon l’environnement d’exécution et les utilisateurs peuvent les désactiver.
Politiques, attribution et audit centralisés
WriteGuard utilise les paramètres de chaque outil et le contexte de la requête pour déterminer l’action appropriée. Il peut laisser passer l’appel sans modification, ajouter les données d’attribution de l’agent aux opérations d’écriture prises en charge et créer un événement d’audit débarrassé des données superflues, ou bloquer l’action avant l’exécution de son gestionnaire.
L’outil permet de définir la politique à côté de chaque outil sans modifier le serveur MCP sous-jacent. Chaque outil reçoit un niveau de risque, un état d’activation ou de désactivation et des paramètres spécifiques d’étiquetage. Les niveaux de risque déterminent si l’action sera enregistrée et si l’appel de l’outil est autorisé ; ils permettent également d’effectuer des recherches dans la piste d’audit en fonction du niveau de risque. Les paramètres d’étiquetage permettent d’ajouter l’attribution de l’agent et de choisir le format de texte le mieux adapté à l’application en aval, sans nécessiter de modifications du code du serveur MCP lui-même.
Cloudflare précise que la version actuellement disponible est une version bêta privée pour les passerelles de serveurs MCP ; la source n’a indiqué ni date de disponibilité générale ni détails supplémentaires sur l’étendue de son accès.