VIFLY IA Toutes les leçons
← Toutes les leçons
Leçon pratiqueAvancé45 min

Laboratoire MCP : connecter des outils avec permissions minimales

Concevez une intégration Model Context Protocol avec inventaire des outils, portée d’autorisation, journalisation et tests de sécurité.

À la finVous repartirez avec une fiche MCP : ressources exposées, scopes minimaux, confirmation d’action, traces et plan de révocation.

01 · Inventorier ce qui est exposé

Inventorier ce qui est exposé

MCP relie une application IA à des ressources et des outils externes. Commencez par décrire exactement ce qui est lisible, modifiable ou exécutable, sans publier de capacité implicite.

À faire maintenantCréez un inventaire : outil, donnée lue, donnée écrite, effet externe, propriétaire et niveau de risque.

Pour valider : Chaque capacité a un objectif métier et un propriétaire identifiable.

02 · Définir l’autorisation

Définir l’autorisation

Utilisez des scopes étroits et une autorisation adaptée au risque. Les serveurs qui accèdent à des données utilisateur ou à des actions administratives doivent pouvoir attribuer, vérifier et auditer les accès.

À faire maintenantPour chaque outil, définissez le scope minimal, la durée de validité, l’utilisateur ou service concerné et le moyen de révoquer l’accès.

Pour valider : Aucun jeton ne permet davantage que la tâche prévue.

03 · Traiter les contenus comme non fiables

Traiter les contenus comme non fiables

Un document, une page web ou une réponse d’outil peut contenir des instructions malveillantes. Séparez les données des instructions, validez les paramètres et ne laissez pas un contenu externe élargir les permissions.

À faire maintenantÉcrivez trois règles : quelles données sont non fiables, quelles actions demandent confirmation, quelles entrées sont refusées.

Pour valider : Une instruction incluse dans un contenu récupéré ne peut pas déclencher une action non autorisée.

04 · Tester et journaliser

Tester et journaliser

Testez les accès refusés, les scopes insuffisants, les appels inattendus et la révocation. Gardez une trace des appels, de l’identité, du scope et du résultat sans journaliser des secrets.

À faire maintenantPréparez quatre tests négatifs et le journal minimal attendu pour chaque appel d’outil.

Pour valider : Je peux enquêter sur un appel et retirer rapidement un accès compromis.