AWS ukázalo most medzi cloudovým agentom a lokálnymi MCP nástrojmi

Keď agent beží v cloude a dáta zostávajú na počítači

AWS zverejnilo referenčnú architektúru, ktorá umožňuje agentovi v Amazon Bedrock AgentCore používať MCP nástroje spustené na počítači používateľa. Rieši praktickú medzeru medzi centrálne prevádzkovaným agentom a pracovnými dátami, ktoré organizácia nechce alebo nemôže presunúť do cloudu. Typickým príkladom sú tabuľky, lokálne repozitáre, interné dokumenty alebo podnikové aplikácie dostupné iba zo spravovanej pracovnej stanice. Nejde však o nový transport definovaný protokolom MCP. AWS vytvorilo aplikačný most, ktorý štandardné správy MCP prenáša cez existujúce spojenie WebSocket a mechanizmus natívnych správ prehliadača.

Primárny blog AWS opisuje štyri časti riešenia. Agent nasadený v AgentCore Runtime vystupuje ako MCP klient. Rozšírenie Chrome poskytuje používateľské rozhranie a sprostredkuje obojsmernú komunikáciu. Lokálny proces označený ako MCP Bridge prekladá obálky natívnych správ na JSON-RPC používané protokolom MCP. Poslednou časťou je samotný lokálny MCP server, ktorý s mostom komunikuje cez štandardný vstup a výstup. Dokumentácia Chrome nezávisle potvrdzuje, že native messaging spúšťa registrovanú aplikáciu ako samostatný proces, komunikuje s ňou cez stdin a stdout a povoľuje prístup iba explicitne uvedeným rozšíreniam.

Tok požiadavky sa začína v bočnom paneli rozšírenia. Používateľova správa smeruje cez podpísané spojenie WebSocket k agentovi v cloude. Keď model zvolí nástroj, agent pošle požiadavku tools/call späť do rozšírenia, ktoré ju odovzdá lokálnemu mostu. Most odstráni transportnú obálku a čistú požiadavku JSON-RPC odošle MCP serveru cez stdio; výsledok sa vracia opačnou trasou. Identifikátory požiadaviek a asynchrónne futures slúžia na priradenie odpovedí, takže architektúra môže spracúvať viac súbežných volaní bez zámeny výsledkov.

Čo potvrdzuje zverejnený kód

Verejný repozitár aws-samples/sample-mcp-bridge-agentcore obsahuje samostatné adresáre pre agenta, rozšírenie, lokálny most, manifesty a ukážkový MCP server na prácu s Excelom. Kód a README tým podporujú základné technické tvrdenia blogu: rozšírenie používa WebSocket voči AgentCore, native messaging voči lokálnemu procesu a JSON-RPC cez stdio voči MCP serveru. Konfigurácia určuje príkaz a argumenty lokálneho servera, takže transportnú vrstvu netreba prepisovať pri každom novom nástroji. Ukážka počíta s Python 3.10+, Node.js, Chrome, účtom AWS a nakonfigurovaným AWS CLI.

WebSocket URL podpisuje lokálny proces pomocou SigV4 a prihlasovacích údajov používateľa. Podľa AWS je adresa viazaná na konkrétny runtime ARN a v ukážke platí päť minút. Rozšírenie pri prerušení požiada o novú adresu a opäť sa pripojí. Dôležité je presné vymedzenie tohto tvrdenia: krátka platnosť URL znižuje hodnotu uniknutého odkazu, sama osebe však nepreukazuje identitu každej následnej správy ani oprávnenosť konkrétneho volania nástroja. Aj preto AWS pre produkciu navrhuje ďalší autentifikačný handshake a kryptografické podpisovanie payloadov.

Dynamické zisťovanie nástrojov je ďalšou praktickou vlastnosťou. Agent po inicializačnom handshaku MCP zavolá tools/list, načíta schémy a prevedie ich na nástroje frameworku Strands. Zmena ponuky lokálneho servera sa tak môže prejaviť pri ďalšej požiadavke bez úpravy kódu agenta. Rovnaká flexibilita však rozširuje dôveryhodnú plochu: kompromitovaný alebo svojvoľne pridaný server môže agentovi ponúknuť nečakané schopnosti či manipulatívny opis nástroja. Produkčný klient preto nemá automaticky dôverovať všetkému, čo sa objaví pri zisťovaní schopností.

Zverejnený repozitár je výslovne zjednodušená vzdelávacia ukážka, nie hotový podnikový produkt. Jeho vlastný zoznam obmedzení uvádza potrebu autentifikácie, podpisovania správ, delenia veľkých payloadov, odolnejšieho obnovovania spojenia, podpory viacerých serverov a perzistencie konverzácií. Ani údaj AWS, že podobný interný finančný asistent zaznamenal viac než 41-tisíc konverzácií za rok, nie je nezávislým benchmarkom bezpečnosti alebo spoľahlivosti verejnej vzorky. Ide o tvrdenie dodávateľa o inom, produkčne rozšírenom systéme.

Najväčšie riziko je na hranici oprávnení

Most nevystavuje lokálny sieťový port, ale tým sa bezpečnostný problém nestráca. Vzdialený agent môže prostredníctvom mosta vyvolať proces, ktorý beží s oprávneniami prihláseného používateľa. Ak má MCP server prístup k celému domovskému adresáru, model môže po chybe, prompt injection alebo manipulácii nástroja čítať omnoho viac dát, než vyžaduje pracovná úloha. Ochrannou hranicou preto nemá byť iba zoznam povolených rozšírení v manifeste Chrome, ale aj samostatný účet alebo sandbox, explicitný zoznam adresárov, obmedzené nástroje a potvrdenie citlivých operácií používateľom.

Odporúčania AWS zahŕňajú JWT handshake, podpis každej MCP správy pomocou Ed25519, obmedzenie súborového systému a lokálny audit volaní. Nezávislý projekt OWASP MCP Top 10 tieto priority podporuje širším modelom hrozieb: upozorňuje na únik tokenov, postupné rozširovanie oprávnení, otrávenie nástrojov, kompromitované závislosti, príkazovú injekciu, nedostatočnú autentifikáciu a chýbajúcu telemetriu. Oficiálne bezpečnostné odporúčania MCP navyše zdôrazňujú minimalizáciu scopes, riziko kompromitácie lokálneho servera a potrebu zachovať jasné hranice medzi procesmi pri proxy scenároch so stdio.

Auditný záznam má zachytiť minimálne identitu používateľa a relácie, názov nástroja, argumenty po bezpečnej redakcii citlivých hodnôt, čas, výsledný stav a rozhodnutie schvaľovacej politiky. Samotné logovanie všetkých argumentov môže vytvoriť ďalší únikový kanál, ak sa v nich nachádzajú osobné údaje, tokeny alebo obsah dokumentov. Organizácia preto potrebuje pravidlá retencie, kontrolu prístupu k logom a väzbu na incident response. Pri nástrojoch schopných zapisovať súbory, spúšťať príkazy alebo odosielať dáta má byť povolenie užšie než pri čítaní neškodného, vopred vybraného dokumentu.

Dôsledky pre slovenské a európske organizácie

Pre slovenské firmy môže byť tento vzor zaujímavý tam, kde sa cloudový agent zavádza nad dátami uloženými na notebookoch alebo vo vnútorných sieťach. Neotvorený port a krátkodobé spojenie zjednodušujú sieťovú architektúru, ale nenahrádzajú posúdenie dodávateľa, klasifikáciu dát ani správu koncových zariadení. Praktický pilot by mal začať s čítaním jedného testovacieho adresára, bez možnosti spúšťať shell, zapisovať mimo pracovného priestoru alebo automaticky odosielať obsah tretej strane. Až merania chybovosti, auditovateľnosti a reakcie na škodlivé vstupy môžu odôvodniť širšie oprávnenia.

Európsky kontext pridáva požiadavky na ochranu osobných údajov, kybernetické riadenie a dokumentovanie rizík. Konkrétna právna kvalifikácia závisí od použitia, spracúvaných dát a postavenia organizácie; samotné použitie MCP neurčuje, či systém patrí medzi vysokorizikové systémy podľa aktu o umelej inteligencii. Prevádzkovateľ však potrebuje vedieť, ktoré dáta opúšťajú zariadenie, kde sa spracujú, kto môže aktivovať nástroje a ako sa prístup odvolá. V regulovaných alebo kritických sektoroch treba vzor zaradiť do existujúcich procesov riadenia prístupov, zraniteľností, dodávateľského reťazca a hlásenia incidentov.

Otvorenou otázkou zostáva, ako bude vzorka udržiavaná, ako sa budú distribuovať podpísané aktualizácie mosta a rozšírenia a či produkčná implementácia poskytne jemné oprávnenia na úrovni jednotlivých nástrojov a súborov. AWS vierohodne demonštruje funkčný transportný vzor, nie jeho univerzálnu bezpečnosť. Najväčšou hodnotou architektúry je možnosť vložiť medzi cloudového agenta a lokálne prostredie kontrolovateľný bod. Ak však tento bod iba bez kontroly preposiela požiadavky, stáva sa namiesto bezpečnostnej brány novým kanálom na zneužitie lokálnych oprávnení.