delego — MCP-сервер для Claude Code: что делает и как установить
Сервер авторизации действий агента с фиксацией намерений, ручным подтверждением через терминал и подписанным журналом аудита.
claude mcp add --env DELEGO_HOME=<DELEGO_HOME> --transport stdio delego -- uvx delegoЧто делает delego
delego работает как шлюз между ИИ-агентом и менеджером учётных данных вроде Agent Vault или OneCLI. Обычные токены лишь открывают доступ к API, но не проверяют, просил ли пользователь конкретную операцию. Сервер решает проблему подмены полномочий, когда инъекция в промпт заставляет модель вызывать разрешённый инструмент не по назначению. Решение принимается детерминированной политикой на Python 3.10+ без привлечения языковых моделей.
Агент взаимодействует с сервером по протоколу stdio через пять инструментов: delego_propose_action, delego_resolve_action, delego_pending, delego_audit_tail и delego_show_policy. При этом команды одобрения и отклонения намеренно исключены из интерфейса MCP. Человек подтверждает операции только сам в консоли через команду delego approve, чтобы скомпрометированный агент не одобрил действие самостоятельно.
Одобрение привязывается к цифровому отпечатку операции и сгорает после одного применения. Журнал аудита защищён криптографической цепочкой хэшей Ed25519. При этом локальный ключ подписи не защитит аудит при полном взломе хоста, а обрезку хвоста журнала можно выявить только сверкой с внешним якорем.
Какие задачи решает
- блокировать непредусмотренные действия агента при внедрении инъекций в контекст
- запрашивать явное подтверждение человека для чувствительных операций через консоль
- вести защищённый от правок цепочечный журнал аудита вызовов с подписью Ed25519
- исключить повторное использование разовых подтверждений для других действий
Примеры запросов агенту
- Отправь запрос на проведение транзакции через delego_propose_action и дождись моего решения.
- Проверь список ожидающих подтверждения действий с помощью delego_pending.
- Заверши утверждённую операцию через delego_resolve_action.
Как установить delego
Командой платформы
claude mcp add --env DELEGO_HOME=<DELEGO_HOME> --transport stdio delego -- uvx delegoВместо <…> подставьте свои значения. uvx запускает команду с именем пакета; если в README она другая — uvx --from delego <команда>
Командой платформы
codex mcp add delego --env DELEGO_HOME=<DELEGO_HOME> -- uvx delegoВместо <…> подставьте свои значения. uvx запускает команду с именем пакета; если в README она другая — uvx --from delego <команда>
Файл настроек
{
"mcpServers": {
"delego": {
"command": "uvx",
"args": [
"delego"
],
"env": {
"DELEGO_HOME": "<DELEGO_HOME>"
}
}
}
}Вместо <…> подставьте свои значения. uvx запускает команду с именем пакета; если в README она другая — uvx --from delego <команда>
Файл настроек
{
"servers": {
"delego": {
"type": "stdio",
"command": "uvx",
"args": [
"delego"
],
"env": {
"DELEGO_HOME": "<DELEGO_HOME>"
}
}
}
}Вместо <…> подставьте свои значения. uvx запускает команду с именем пакета; если в README она другая — uvx --from delego <команда>
Командой платформы
gemini mcp add -e DELEGO_HOME=<DELEGO_HOME> delego uvx delegoВместо <…> подставьте свои значения. uvx запускает команду с именем пакета; если в README она другая — uvx --from delego <команда>
По шагам, с командами для каждой платформы: Как подключить MCP-сервер: Claude Code, Codex, Cursor, VS Code, Gemini CLI и другие
Вопросы о delego
Как установить delego в Claude Code?
Выполните команду claude mcp add delego -- uvx delego. Если требуется изолировать проектные ключи и политики, укажите путь к домашней директории: claude mcp add --env DELEGO_HOME=<DELEGO_HOME> --transport stdio delego -- uvx delego.
Зачем нужен delego, если у сервиса уже настроены права доступа?
Права и токены определяют доступность действия, но не подтверждают исходное намерение человека. Если агент подвергнется инъекции, валидный токен выполнит чужую команду. delego сверяет параметры каждого вызова с хэшем исходной инструкции и правилами локальной политики.
Почему подтверждать действия можно только через CLI?
Инструменты одобрения и отклонения исключены из схемы MCP намеренно. Если бы агент получил к ним доступ, атакованная модель могла бы самостоятельно подтвердить опасную операцию в обход оператора.
