Cloudflare 宣布开始面向其 MCP 服务器网关提供 WriteGuard 私人测试版，为人工智能驱动的代理执行的操作提供集中式控制层。该工具结合工具策略、用户和代理身份、操作来源归属以及集中式审计，使请求能够在负责执行请求的处理程序运行前被放行、附加元数据或阻止。
WriteGuard 针对的问题
Cloudflare 举例描述了一种场景：错误工单开始快速关闭，但日志看起来却像是同一名工程师执行了所有操作。在该示例中，这名工程师有多个代理在并发会话中运行，其中一个代理因提示范围过于宽泛而执行了清理任务。确定责任代理花费了半个小时；此外，由于手动更改和代理更改都记录在同一名工程师名下，修复工单系统状态变得更加复杂，而网络日志也无法区分不同的代理会话。
Cloudflare 认为，在其他系统中风险可能更大：拥有合同软件访问权限的代理可能修改协议，或通过支持系统向客户发送数百条回复，或从数据库中删除整个表。因此，该公司不希望依赖每名员工正确配置每个代理的能力，也不希望依赖对每次工具调用进行监控。
MCP 在内部架构中的作用
MCP 是 Model Context Protocol（模型上下文协议）的缩写，是一种用于将人工智能应用连接到外部工具和数据源的标准。MCP 服务器提供连接的客户端可以使用的工具，每个工具都具有名称、描述、输入模式以及执行任务的处理程序。当代理选择某个工具时，MCP 客户端会向服务器发送工具调用，服务器随后与下游应用或系统进行交互。
Cloudflare 在支持其内部代理的架构中使用 MCP 服务器，客户端包括 OpenCode 和 Cloudflare OS 等本地客户端，以及长期运行的代理服务。这些服务器位于 Cloudflare Access 之后，并通过一个内部 MCP 服务器网关访问。当 Cloudflare 在 4 月介绍其人工智能工程内部架构时，该网关连接了 13 台服务器；截至本文发布时，数量已增加到 27 台，团队仍在每月推出新的服务器。
从只读到执行操作
这些服务器最初采用只读模式，使团队能够搜索 Jira、GitLab、维基、运营系统并查看信息，而无需修改信息。随着模型能力提升以及团队在使用人工智能方面积累更多经验，工程、产品、设计、销售和客户成功团队的员工开始要求能够执行操作的工具。
在扩大写入权限之前，Cloudflare 希望集中控制代理可以执行的写入操作，在下游应用中显示代理标签，并创建便于调查代理活动的审计路径。该公司表示，客户端侧控制措施，例如技能或澄清提示，并不能提供足够的基础，因为其行为会因运行环境而异，用户也可以将其禁用。
集中式策略、归属和审计
WriteGuard 使用每个工具的设置和请求上下文来确定适当的操作。它可以原样放行调用，或向受支持的写入操作添加代理归属信息并创建删除不必要数据的审计事件，也可以在运行相应处理程序之前阻止该操作。
该工具支持在每个工具旁定义策略，而无需修改底层 MCP 服务器。每个工具都具有风险等级、启用或禁用状态以及专属的标记设置。风险等级决定是否记录操作以及是否允许工具调用，也支持根据风险等级查询审计日志。标记设置支持添加代理归属信息，并选择最适合下游应用的文本格式，无需对 MCP 服务器本身进行代码更改。
Cloudflare 说明，目前提供的版本是面向 MCP 服务器网关的私人测试版；消息来源未提及公开发布的时间，也未提供有关其访问范围的其他详细信息。