エージェントに渡すMCPツールを絞る — 最小権限の許可リスト設計

from dataclasses import dataclass, field
 
# 役割ごとの許可リスト（deny by default）
ALLOWLISTS: dict[str, set[str]] = {
    "reporter":  {"read_file", "list_dir", "query_db_readonly"},
    "builder":   {"read_file", "write_file", "run_build"},
    "deployer":  {"read_file", "deploy"},
}
 
# 破壊的ツール — 許可されていても二段階承認を必須にする
DESTRUCTIVE = {"deploy", "delete_file", "delete_db", "charge_card", "run_shell"}
 
 
class PermissionError_(Exception):
    pass
 
 
@dataclass
class CallContext:
    role: str
    approved: set[str] = field(default_factory=set)  # 承認済みの破壊的操作
 
 
def guard(ctx: CallContext, tool: str) -> None:
    allowed = ALLOWLISTS.get(ctx.role, set())
    if tool not in allowed:
        raise PermissionError_(
            f"[deny] role='{ctx.role}' はツール '{tool}' を許可されていません"
        )
    if tool in DESTRUCTIVE and tool not in ctx.approved:
        raise PermissionError_(
            f"[hold] '{tool}' は破壊的です。承認フラグが要ります"
        )
 
 
async def call_mcp_tool(ctx: CallContext, tool: str, **args):
    guard(ctx, tool)                 # ① 許可判定（呼び出し前）
    result = await _raw_mcp_call(tool, **args)  # ② 実際の呼び出し
    audit(ctx.role, tool, args)      # ③ 監査ログ
    return result

# 破壊的操作は「計画」と「実行」を分ける
async def plan_then_execute(ctx: CallContext, tool: str, **args):
    if tool in DESTRUCTIVE:
        preview = await dry_run(tool, **args)     # まず影響範囲を出す
        if not human_or_policy_approves(preview): # 人 or ポリシーが承認
            raise PermissionError_(f"[abort] '{tool}' は未承認のため中止しました")
        ctx.approved.add(tool)                    # この実行に限り承認
    return await call_mcp_tool(ctx, tool, **args)

import json, time
 
def audit(role: str, tool: str, args: dict, verdict: str = "allow"):
    line = json.dumps({
        "ts": int(time.time()),
        "role": role,
        "tool": tool,
        "verdict": verdict,            # allow / deny / hold
        "arg_keys": sorted(args.keys()),  # 値は残さない（秘密混入を避ける）
    }, ensure_ascii=False)
    with open("mcp_audit.jsonl", "a") as f:
        f.write(line + "\n")