סוכן במצב קריאה בלבד

מחברים סוכן AI למערכת חיה, ורוצים שהוא יוכל לענות על שאלות בלי שיוכל לשנות דבר. העמוד הזה נותן את הרשימה המדויקת, ומסביר איפה הגבול באמת נאכף.

גבול אמיתי דורש שתי שכבות

שכבה 1 — רשימת היתר אצל הלקוח. מגדירים לסוכן אילו כלים מותר לו לקרוא. זו מדיניות, לא קיר: מי שיכול לערוך את הקונפיגורציה של הסוכן יכול לבטל אותה, ובאג בשכבת התזמור עוקף אותה.

שכבה 2 — הרשאות ה‑MCP של המשתמש. נאכפות בשרת, ואינן ניתנות לעקיפה מצד הלקוח. זו השכבה היחידה שמחזיקה מול טעות.

סוכן שמחובר עם Application Id + API Key מקבל שכבה 1 בלבד — האישור הזה עוקף כל הרשאת טבלה ופועל כמשתמש־על Master. בשביל גבול אמיתי, החיבור חייב להיות התחברות משתמש, למשתמש שקיבל הרשאת Read ולא Create/Update. ראו שתי דרכי החיבור.

מה נספר כ“משנה” — וכללי הסיווג

הסיווג הוא לפי היכולת של הכלי, לא לפי הקריאה הבודדת. כלי הוא כתיבה אם הוא יכול לגרום לאחד מאלה:

הסוג	דוגמאות
שינוי נתונים	יצירה, עדכון, טעינה המונית
שינוי סכימה	טבלה חדשה, שדה חדש
שינוי דף או ממשק	HTML, CSS/JS, אלמנטים, תפריטים
שינוי הרשאות	CLP, תפקידים, חברות, מושבי רישוי
תקשורת יוצאת אל אדם אמיתי	הודעת WhatsApp
חשיפה ציבורית של קובץ	URL בלי אימות

כלי שנראה קריא ובכל זאת מסווג כמשנה

Send-WhatsApp-Message יודע לרוץ במצב גילוי טהור: getNumbers: true או getTemplates: true מחזירים מידע ולא שולחים כלום. מבחינת הנתונים במערכת — קריאה.

הוא בכל זאת כתיבה, כי אותו כלי עצמו שולח הודעה ללקוח אמיתי כשמעבירים לו phoneNumber ו‑message. רשימת היתר מתירה כלי, לא צירוף פרמטרים: ברגע שהכלי ברשימה, כל קריאה אליו מותרת.

אותו היגיון חל על Upload-Public-File: הוא לא משנה שום רשומה, ובכל זאת יוצר URL ציבורי בלי אימות.

הכלל: אם יש צירוף פרמטרים אחד שגורם לנזק בלתי הפיך — הכלי מחוץ לרשימה.

29 הכלים הקוראים — רשימת ההיתר

זוהי הרשימה המלאה, מול tools/list החי של השרת (67 כלים, 23.08.2026). סוכן שמוגבל אליה אינו יכול לשנות דבר, לשלוח דבר או לחשוף דבר.

Usage-Guide
Get-Schema
Get-Data
Count-Data
Aggregate-Data
Get-Current-User
Get-all-Users
Get-Packages
Get-Roles
Get-Role-Users
Get-Table-Permissions
Get-Triggers
Get-Timeline-Settings
Get-Form-Rules
Get-Site-Pages
Get-Sites
Get-Page-Content
Get-Page-Settings
Get-Page-Versions
Get-Page-Version
Get-Optional-Fields
Get-Menus
Get-Menu-Items
Get-Reports
Get-Terminology-Dictionary
Get-Price-Quote-Templates
Get-SMTP-Accounts
Get-WhatsApp-Template-Params
Get-File-Content

מה שסוכן כזה יודע לעשות בפועל, וזה לא מעט: לענות על שאלות נתונים ואגרגציה, לתאר את מבנה המערכת והסכימה, לבקר הרשאות ותפקידים, להסביר אילו אוטומציות קיימות ומה הן עושות, לאתר תקלות מול היומנים, ולהכין תוכנית שינוי שאדם יאשר ויבצע.

38 הכלים המשנים — לפי הסיכון

הקבוצה	הכלים	מה יכול להשתבש
נתונים (3)	Create-Data, Create-Many, Update-Data	רשומות שגויות · סופת טריגרים שמגיעה ללקוחות · אין מחיקה (mcp-data-08), אז אין ניקוי קל · שם שדה שגוי יוצר עמודה (mcp-data-06)
סכימה (2)	Create-Table, Add-Field-to-Table	טבלה או שדה שאי אפשר להסיר מ‑MCP
דפים (7)	Create-Form-Page, Edit-Page, Edit-Page-CSS-JS, Set-Page-Settings, Set-Page-Version, Add-Container-to-Page, Duplicate-Element	Edit-Page-CSS-JS דורס את כל הבלוק · Set-Page-Version דורס את התוכן הנוכחי, בלתי הפיך
דשבורדים (4)	Add-Edit-Text-Element, Add-Edit-Counter-Element, Add-Edit-Chart-Element, Add-Edit-Tabs-Element	פגיעה בדף שכל המשתמשים רואים
טבלאות תצוגה (3)	Create-Table-View-Page, Edit-Table-View, Add-Table-View-to-Form-Page	שינוי מסך העבודה המרכזי
כללי טופס (2)	Edit-Form-Rules, Set-Form-Rules	Set-Form-Rules מחליף את כל הכללים בדף
טריגרים (2)	Set-Trigger, Set-Trigger-Action	אוטומציה שרצה על נתוני עבר · אין מחיקת טריגר · בשרת מלפני 25.08.2026: עדכון חלקי של טריגר מתוזמן דרס אותו (mcp-a-01, נסגר)
ציר הזמן (1)	Set-Timeline-Settings	דורס את הגדרת הרישום של הטבלה ל‑_Timeline; מיפוי שגוי שובר שאילתות על היומן — אינדקס הכלים
משתמשים ורישוי (2)	Create-or-Update-User, Set-Package-for-User	יצירת גישה למערכת · שחרור מושב שחוסם התחברות
תפקידים והרשאות (4)	Create-Role, Add-Users-to-Role, Remove-Users-from-Role, Set-Table-Permissions	Set-Table-Permissions מחליף את כל ה‑CLP — השמטת מפתח מבטלת הרשאה בשקט
תפריטים (1)	Set-Menu-Items	ניווט שבור לכל המשתמשים
דוחות (1)	Create-or-Update-Report	דוח עם משלוח מתוזמן שיוצא לאנשים
מינוח (2)	Set-Terminology-Dictionary, Replace-Terms	Replace-Terms מבצע החלפת מחרוזות ב‑HTML — יכול לשבור דף
הצעות מחיר (2)	Create-Update-Price-Quote-Template, Create-Price-Quote	עריכת תבנית משפיעה על כל ההצעות העתידיות
קבצים (1)	Upload-Public-File	URL ציבורי לצמיתות על static.mbapps.co.il — ואין מסלול API למחיקתו
הודעות (1)	Send-WhatsApp-Message	הודעה ללקוח אמיתי. בלתי הפיך.

שכבה 2 — הרשאות ה‑MCP של המשתמש

זה מה שנאכף בשרת, ולכן זה מה שחשוב.

למשתמשים אין גישת MCP כברירת מחדל (גם ל‑owner). מעניקים אותה בסביבת הפיתוח: תפריט המשתמש ← סביבת פיתוח ← Databases ← המערכת ← לשונית Users ← עיפרון על כרטיס המשתמש ← לשונית MCP Permissions ← Apply. הלשונית מציגה שלוש הרשאות:

ההרשאה	המפתח הפנימי	מה היא מתירה
Read	mcp:view	שליפה, ספירה, אגרגציה, קריאת סכימה והגדרות
Create	mcp:create	יצירת רשומות
Update	mcp:update	עדכון רשומות

ב‑DOM של הלשונית יש הרשאה רביעית, מוסתרת: mcp:edit-page-and-schema — “Edit pages and schema (admin role is required)”. היא מסבירה למה כלי הדפים והסכימה אינם נכנסים תחת Create/Update, ואינה ניתנת לסימון מהממשק.

סוכן קריאה־בלבד = משתמש ייעודי עם Read בלבד.

מגבלה ידועה — ההרשאות זמינות רק במערכת עם חבילת מנוי (mcp-b-04)

הלשונית עצמה מצהירה: “The use of the MCP is subject to the subscription plan”. נבדק בטננט ללא חבילה: שלוש התיבות מנוטרלות (disabled) לכל משתמש כולל ה‑owner, ו‑Apply אינו שולח שום בקשה לשרת. חיבור עם X-Parse-Session-Token של משתמש במערכת כזו נדחה ב‑HTTP 403 — {"code":-32000,"message":"No permissions to access the MCP server"} — לכל כלי, כולל Get-Current-User.

כלומר: האכיפה בשרת קיימת, אבל במערכת בדיקות/סנדבוקס ללא חבילה אין דרך להעניק את ההיתר, וסוכן מולה מקבל שכבה 1 בלבד (חיבור Master / API Key). בדיקת האכיפה בפועל דורשת טננט עם חבילה.

שלוש נקודות שקובעות אם זה באמת עובד:

1. ה‑MCP לעולם לא חורג מהתפקיד. ההרשאות האלה מצטמצמות עם הרשאות הטבלה (CLP) של המשתמש — הן לא מרחיבות אותן. משתמש שאין לו find על Sales (במערכת vanilla: רק role:CRM, role:Admin, role:Sales) לא יראה מכירות גם עם Read.
2. השימוש כפוף גם לחבילת המנוי, בנוסף לזכויות ברמת הטבלה — ראו המגבלה למעלה.
3. אישור שגוי לא מופיע כשגיאת HTTP. בחיבור Master / API Key עם מפתח שגוי התשובה חוזרת 200, והשגיאה יושבת בתוך תשובת הכלי: Error: Permission denied for action find on class Accounts. (הנוסח שונה מכלי לכלי — הטבלה המלאה). רק סשן משתמש בלי הרשאת MCP, או היעדר כותרות אימות לגמרי, מחזירים 403 אמיתי. סוכן שבודק רק קוד סטטוס יחשוב שהצליח.

מגבלת OAuth ללקוחות שולחן עבודה (start-a-01)

השכבה הזו מחייבת התחברות משתמש, וזרימת ה‑OAuth אינה זמינה כרגע ללקוחות שכתובת ה‑callback שלהם מקומית — Claude Code, Cursor, Claude Desktop (רישום לקוח עם http://localhost נדחה ב‑403 עוד לפני השרת).

כלומר סוכן שרץ בשולחן העבודה חייב להתחבר עם API Key, ולכן מקבל שכבה 1 בלבד. עד שזה ייפתח: סוכן שולחן עבודה מול מערכת ייצור — רק עם רשימת היתר הדוקה ובאחריות המפעיל; מול מערכת בדיקות — כרצונכם. ראו OAuth 2.1.

“קריאה בלבד” אינה “בלי סיכון”

סוכן קורא לא ישבור את המערכת, אבל הוא רואה הכול:

• Get-Data על _User מחזיר את רשימת העובדים עם אימיילים וטלפונים.
• Get-all-Users מוסיף להם מצב פעילות והתחברות אחרונה — ובגרסה הנוכחית גם את היסטוריית סיסמאות ה‑hash (mcp-a-05). זה כלי קריאה לפי הסיווג, ולא בהכרח כלי שרוצים ברשימת ההיתר.
• Get-Data על _Timeline הוא היסטוריית השינויים המלאה — מי שינה מה ומתי.
• Get-Data על טבלאות עסקיות מחזיר את בסיס הלקוחות, הסכומים והמחירים.
• Get-SMTP-Accounts חושף את זהויות השליחה של הארגון.
• Get-File-Content והמשאב get-file מחזירים תוכן של קבצים — כולל PrivateFile (מסמכים חתומים) דרך resource_link.

מה שנגזר מזה, בנפרד לגמרי משאלת הכתיבה:

השאלה	מה לוודא
לאן התשובות זולגות	מודל חיצוני, לוגים, שיחות שנשמרות — הנתונים עוברים דרך כולם
מי מפעיל את הסוכן	משתמש ייעודי עם CLP מצומצם, לא חשבון של מנהל
מה נכנס להיסטוריה	פלט של Get-Data בתוך תשובת סוכן הוא עותק של הנתונים במקום נוסף
האם Get-File-Content צריך להיות ברשימה	הוא קורא קבצים; אם הם מכילים מסמכי לקוח, שקלו להוציא אותו

תבנית עבודה — “תכנן, ואדם יבצע”

הדפוס שנותן ערך אמיתי בלי לוותר על הגבול:

1. הסוכן במצב קריאה: Get-Schema, Get-Data, Get-Triggers, Get-Table-Permissions
2. הוא מנסח תוכנית שינוי — הקריאות המדויקות, על מה הן ישפיעו, ומה בלתי הפיך
3. אדם קורא, מאשר או מתקן
4. הביצוע רץ בהקשר מורשה — הפעלה ידנית, או סוכן שני עם הרשאת כתיבה מוגבלת לטבלאות שסוכמו

השלב שמשלם על עצמו הוא 2: הסוכן ממילא צריך לקרוא את המערכת כדי לתכנן, וקריאת התוכנית לוקחת דקה. מה שהיא חוסכת — טעינה של 5,000 שורות עם בעלים שגוי, שאין ממנה דרך חזרה כי אין כלי מחיקה.

המשך

• אינדקס הכלים המלא — הסיווג קריאה/כתיבה לכל כלי
• שרת ה‑MCP — חיבור, OAuth והרשאות MCP
• מתכונים — מה סוכן קורא עושה בפועל
• אימות והרשאות · שגיאות ופתרון תקלות