MCP لوكلاء الذكاء الاصطناعي

يتحدّث سحابتي بروتوكول Model Context Protocol، فيستطيع مساعد ذكي أن يعمل على مساحة عملك مباشرة: يسرد ما يعمل، ويقرأ سجل تجهيز النسخة التي أخفقت، وينفّذ استعلاماً، ويأخذ نسخة احتياطية قبل ترحيل، ويغيّر حجم خادم نفدت ذاكرته.

نقطة الوصول هي:

https://api.sahabti.com/mcp

وهي مستوى التحكّم نفسه الذي تستخدمه لوحة التحكّم. لا وجود لتطبيق ثانٍ لأي قاعدة خلفها — إذ ينفّذ كل نداء أداة المسار ذاته الذي تناديه اللوحة، فيُطبَّق دورك وصلاحيات رمزك وحصتك بالطريقة نفسها سواء جاء الطلب من إنسان أو من نموذج.

اربط عميلاً

اللوحة موجودة في صفحة رموز API في مساحة عملك، تحت MCP، ومعها مقتطف جاهز للنسخ لكل عميل. وهناك طريقتان للمصادقة:

OAuth — أضف نقطة الوصول بلا رمز. يسجّل عميلك نفسه، ويفتح المتصفّح لتسجّل دخولك، ثم يتصرّف بصفتك أنت: بدورك في كل مساحة عمل، ويُعاد التحقّق منه مع كل طلب. وهذه هي الطريقة المناسبة على جهازك الشخصي.

قبل أن يحصل أي تطبيق على صلاحية الوصول، تسألك سحابتي — في كل مرة. فالتطبيقات تسجّل نفسها بأي اسم تشاء، لذا تَسِم الشاشة كل تطبيق بـتطبيق غير موثَّق وتعرض العنوان الذي سيعيدك إليه: وافق فقط إن كنت بدأت هذا من ذلك التطبيق وتعرف العنوان. ولا يُسمح للتطبيق أن يعيدك إلا إلى عنوان HTTPS أو إلى مستمع على جهازك نفسه؛ ومن يسجّل غير ذلك يُرفض، ويمكنه استخدام رمز ثابت بدلًا من ذلك. وتعرض صفحة الحساب ← الجلسات ← التطبيقات التي تملك صلاحية الوصول كل تطبيق وافقت عليه وتلغي وصول أي منها.

رمز ثابت — أنشئ رمز مساحة عمل وأرسله في ترويسة x-api-key. الرمز يسمّي مساحة عمل واحدة ويحمل الصلاحيات التي منحتها له، وهو الأنسب لوظيفة CI أو وكيل يعمل دون إشراف.

Claude Code، برمز:

claude mcp add --transport http sahabti https://api.sahabti.com/mcp --header "x-api-key: <token>"

وCursor وVS Code وكل ما يقبل ملف إعدادات:

{
  "mcpServers": {
    "sahabti": {
      "url": "https://api.sahabti.com/mcp",
      "headers": { "x-api-key": "<token>" }
    }
  }
}

ومع OAuth احذف كتلة headers ودع العميل يتولّى تسجيل الدخول.

وكعكة جلسة المتصفّح غير مقبولة عن قصد. فلو قُبلت، لأمكن لأي صفحة مفتوحة لديك أن تصل إلى كل أداة تعدّل شيئاً.

ماذا يستطيع الوكيل

إحدى وتسعون أداة، مجموعة تقريباً كالتالي:

وكل كتابة تمرّ بمسار «تسجيل النية ثم المطابقة» نفسه الذي تمرّ به لوحة التحكّم: الإنشاء أو تغيير الحجم يُسجَّل ويُردّ عليه فوراً، ثم تصل النسخة إليه. والوكيل الذي يريد معرفة ما جرى ينبغي أن يقرأ النسخة من جديد أو يتابع سجل التجهيز — لا أن يفترض.

وما لا يستطيعه عن قصد

• أسرار الاتصال. لا تُرجع أي أداة كلمة مرور نسخة ولا متغيّرات بيئة تطبيق ولا ملف kubeconfig. فنتيجة الأداة تصير سياقاً للنموذج: تُسجَّل، وتنتقل إلى المزوّد الذي يستخدمه العميل. وتبقى تفاصيل الاتصال في صفحة النسخة داخل لوحة التحكّم.
• أي شيء على مستوى المشغّل. مسارات المنصّة والطاقم ليست في الكتالوج، ولا يمكن لبيانات اعتماد مساحة عمل أن تصلها أصلاً.
• إيقاف حماية الحذف في مجموعة. يستطيع الوكيل تفعيلها، ولا يستطيع إيقافها أبداً: فهذا يحتاج إلى مدير المجموعة، أو مالك مساحة العمل أو مديرها، مسجَّلاً دخوله إلى لوحة التحكّم.
• أكثر مما تحمله بيانات الاعتماد. الرمز المخصّص للقراءة يحصل على أدوات قراءة فقط؛ وجلسة OAuth لمشاهد لا تستطيع تشغيل نسخة. فالتحقّق من الصلاحية للمسار، لا للأداة.
• تجاوز شرط التحقق بخطوتين في مساحة عمل. في مساحة عمل تطلب التحقق بخطوتين، يتلقى التطبيق الذي يعمل باسم شخص لم يفعّله — سواء سجّل الدخول باسمه أو استخدم رمزاً أنشأه — الرد 403 TWO_FACTOR_REQUIRED من كل أداة هناك. وتضع أداة whoami على مساحة كهذه blockedBy: "TWO_FACTOR_REQUIRED".

الخطوات التالية

• رموز API — تحديد صلاحيات الرمز الذي يستخدمه وكيل بلا إشراف
• أدوات قواعد البيانات — قناة الاستعلام نفسها، من لوحة التحكّم
• النسخ — ماذا تفعل أدوات دورة الحياة فعلياً