AWS ukázalo most medzi cloudovým AI agentom a lokálnymi MCP nástrojmi

AWS zverejnilo referenčnú implementáciu mosta, ktorý umožňuje agentovi v Amazon Bedrock AgentCore volať MCP nástroje spustené na počítači používateľa. Riešenie reaguje na bežnú medzeru v agentických systémoch: model a jeho orchestrácia bežia centrálne v cloude, no tabuľky, repozitáre a ďalšie pracovné súbory zostávajú lokálne. Most prenáša štandardné správy MCP bez toho, aby používateľ musel vystaviť lokálny server cez otvorený port alebo VPN.

Architektúra má štyri hlavné časti. Agent postavený na Strands beží v AgentCore Runtime a vystupuje ako MCP klient. Rozšírenie prehliadača poskytuje chatové rozhranie a obojsmerne prenáša správy. Lokálny MCP Bridge funguje ako proxy a prekladá medzi formátom natívnych správ prehliadača a JSON-RPC protokolu MCP. Samotný MCP server beží na počítači používateľa a s mostom komunikuje cez štandardný vstup a výstup.

Používateľská správa putuje do AgentCore cez podpísané spojenie WebSocket. Keď agent potrebuje nástroj, zabalí požiadavku MCP do obálky a pošle ju rovnakým spojením späť do rozšírenia. To ju cez mechanizmus native messaging odovzdá lokálnemu procesu. Most odstráni transportnú obálku, odošle čistú správu JSON-RPC lokálnemu MCP serveru a výsledok vráti opačnou cestou. Obsah MCP sa pritom nemusí meniť.

Spojenie používa krátkodobú WebSocket URL podpísanú mechanizmom SigV4. Vzorová implementácia ju vytvára z lokálnych prihlasovacích údajov AWS a jej platnosť nastavuje na päť minút. Pri prerušení si rozšírenie vyžiada novú URL a znovu sa pripojí. AWS zdôrazňuje, že prihlasovacie údaje neopúšťajú počítač a nevstupujú do prehliadača; prehliadač dostane iba časovo obmedzenú adresu na konkrétny runtime.

Pred prvým volaním nástroja prebehne štandardná inicializácia MCP a výmena informácií o schopnostiach. Agent si následne vyžiada zoznam nástrojov a ich schémy prevedie na nástroje frameworku Strands. Nový nástroj pridaný na lokálny server sa preto môže objaviť pri ďalšej požiadavke bez zmeny kódu agenta. Identifikátory JSON-RPC a asynchrónne futures umožňujú korektne spárovať odpovede aj vtedy, keď súčasne prebieha viac volaní.

Lokálny most používa dva súbežné cykly a proxy FastMCP. Jeden prijíma správy z prehliadača a ukladá ich do frontu, druhý vracia odpovede MCP servera. Dlhšie trvajúci nástroj tak nemusí zastaviť prijímanie ďalších požiadaviek. MCP server sa spustí ako podradený proces a zostáva aktívny počas celej relácie. Konfiguračný súbor určuje príkaz a argumenty servera, takže ďalší lokálny nástroj možno pripojiť bez zmeny transportnej vrstvy.

AWS demonštruje vzor na práci s lokálnym excelovým súborom. Rovnaký princíp sa však dá použiť na repozitáre Git, súborový systém, lokálnu pamäť alebo špecializované podnikové nástroje. Referenčný kód je verejne dostupný a spája AgentCore, rozšírenie Chrome, Python a lokálny MCP server. Podľa návodu trvá základné nasadenie približne 15 minút, no tento odhad sa týka demonštrácie, nie bezpečne spravovaného podnikového rolloutu.

Najdôležitejšou témou je bezpečnosť. Most prijíma pokyny od vzdialeného agenta a vykonáva ich s lokálnymi oprávneniami používateľa. Vzor obmedzuje pôvod rozšírenia, používa krátkodobú podpísanú URL a oddeľuje jednotlivé časti do samostatných procesov. To však nie je úplná ochrana proti prompt injection, zneužitiu nástroja alebo čítaniu citlivých súborov. AWS preto samotnú ukážku výslovne opisuje ako základ, ktorý potrebuje produkčné spevnenie.

Odporúčané doplnenia zahŕňajú autentifikačný handshake s tokenom JWT, podpisovanie každej správy pomocou Ed25519, zoznam povolených adresárov a lokálny audit všetkých volaní nástrojov. Kritické je najmä obmedzenie súborového systému: agent nemá dostať širší prístup, než používateľ vedome udelil. Log má zachytiť názov nástroja, argumenty, čas a stav výsledku, aby sa po incidente dalo zistiť, čo agent na zariadení vykonal.

Vzor rieši dôležitý technický problém, ale zároveň posúva hranicu dôvery z cloudu až na pracovnú stanicu. Organizácie budú musieť spravovať distribúciu lokálneho binárneho súboru, aktualizácie rozšírenia, pravidlá adresárov, schvaľovanie citlivých úkonov a odvolanie prístupu. Bez týchto kontrol by pohodlné spojenie mohlo vytvoriť nový kanál na exfiltráciu dát. Hodnota architektúry preto nespočíva iba v tom, že agent dosiahne na lokálne nástroje, ale aj v možnosti vložiť medzi ne kontrolovaný, auditovateľný a explicitne obmedzený most.