MCPで"運転席と作業者"を分離して事故率を下げる

┌─────────────────────────────────────────┐
│  従来のAIワーカー連携                    │
├─────────────────────────────────────────┤
│ プロンプトA: 「ファイルを読んで...」     │
│ プロンプトB: 「shellで実行して...」      │
│ プロンプトC: 「APIを叩いて...」          │
│                                         │
│ → 毎回、権限・手順・制約を書き直す      │
│ → 人によって書き方がバラバラ            │
│ → 「禁止」を忘れると事故                │
└─────────────────────────────────────────┘

┌─────────────────┐     ┌─────────────────┐
│   AI Client     │────▶│   MCP Server    │
│ (Claude, etc)   │ MCP │ (Tool Provider) │
└─────────────────┘     └────────┬────────┘
                                 │
                        ┌────────▼────────┐
                        │  実際のツール    │
                        │ (FS/Git/API/DB) │
                        └─────────────────┘

┌─────────────────┐
│  Root Planner   │ ← 人間 or 上位AI
│  全体計画・承認  │
│  MCPツール：なし │ ← 直接操作しない
└───────┬─────────┘
        │ handoff
┌───────▼─────────┐
│  Sub Planner    │ ← AI（オプション）
│  タスク分解     │
│  MCPツール：検索 │ ← Read-only
└───────┬─────────┘
        │ handoff
┌───────▼─────────┐
│    Worker       │ ← AI
│  実装・テスト   │
│  MCPツール：限定 │ ← ALLOWLIST
└─────────────────┘

# mcp-server-config.yaml（概念例）

allowed_tools:
  # ファイルシステム（Read-only）
  - name: fs_read
    paths:
      - "src/**"
      - "tests/**"
      - "docs/**"
    deny_paths:
      - "secrets/**"
      - ".env*"
      - "**/*.lock"

  # ファイルシステム（Write - 限定）
  - name: fs_write
    paths:
      - "src/**"
      - "tests/**"
    max_files: 5
    max_lines_per_file: 300

  # コマンド実行（Allowlist）
  - name: shell_exec
    allowed_commands:
      - "pnpm test"
      - "pnpm lint"
      - "pnpm typecheck"
    deny_commands:
      - "rm -rf"
      - "git push --force"

  # Git操作（限定）
  - name: git
    allowed_operations:
      - "branch"
      - "commit"
      - "push" # protected branchでブロック
    deny_operations:
      - "push --force"
      - "rebase"

# Bad: ブラックリスト
deny_paths:
  - "secrets/**"
  - ".env"
  - "database/production/**"
  # → 漏れが発生しやすい

# Good: ホワイトリスト
allow_paths:
  - "src/**"
  - "tests/**"
  # → 明示的に許可したものだけ

┌────────────────────────────────────────────────┐
│  ガードレール設計の3原則                        │
├────────────────────────────────────────────────┤
│ 1. 最小権限（Least Privilege）                 │
│    → 必要最小限のツール・パスだけ許可          │
│                                                │
│ 2. 段階的解放（Progressive Unlock）            │
│    → 信頼が積み上がったら権限を追加            │
│                                                │
│ 3. フェイルセーフ（Fail-Safe Defaults）        │
│    → 設定ミスは「拒否」にフォールバック        │
└────────────────────────────────────────────────┘

Week 1: 超保守的
├── fs_read: src/, tests/ のみ
├── shell_exec: pnpm test のみ
└── git: branch のみ（commit/pushなし）

Week 2: テストが安定したら
├── fs_write: src/, tests/
├── shell_exec: + pnpm lint, pnpm typecheck
└── git: + commit

Week 4: CI pass rateが安定したら
├── git: + push（protected branchでガード）
└── PR作成ツール追加

# ai/allowed-tools.md

## Worker許可ツール（v1）

1. ファイル読み取り: src/, tests/
2. テスト実行: pnpm test
3. 差分表示: git diff

## 禁止（明示）

- secrets/, .env*, *.lock
- rm, git push --force