MCP-серверы для Claude, Cursor и VS Code: что подключать первым
Практический разбор MCP: чем сервер отличается от расширения и API-ключа, какие подключения полезны первыми и как не выдать агенту лишние права.
MCP решает неудобную, но важную задачу: даёт AI-приложению единый способ обнаружить внешние инструменты и данные. Вместо отдельного адаптера для GitHub, файлов, базы или Slack хост запускает MCP-клиент, а тот общается с совместимым сервером. В официальной архитектуре MCP разделены host, client и server; сервер может отдавать инструменты, ресурсы и промпты. Эта граница полезнее маркетингового обещания «подключите всё» — именно на ней задаются доступ и ответственность.
Один протокол, три роли и много отдельных соединений
Host — это Claude, Cursor, редактор или другое приложение, в котором работает пользователь. Внутри хоста создаётся клиент для каждого настроенного сервера. Сервер, в свою очередь, открывает конкретную возможность: читать выбранный каталог, запрашивать GitHub, выполнять безопасные запросы к базе или управлять браузером. Это не один всемогущий туннель. Несколько узких серверов легче отключить, проверить и выдать им разные учётные данные.
В документации MCP локальное соединение обычно строится через stdio: хост запускает процесс и обменивается с ним сообщениями через стандартный ввод и вывод. Для удалённого сервера используется Streamable HTTP. Выбор влияет на развёртывание и доверие: локальный процесс видит права текущего компьютера, удалённый сервис получает данные по сети и требует отдельной аутентификации.
Filesystem и GitHub дают агенту первый полезный контур
Первым стоит подключать не самый эффектный сервер, а тот, который закрывает частую работу с понятным радиусом поражения. Filesystem полезен, когда хост сам не умеет читать нужный каталог или требуется жёстко ограничить корень. GitHub добавляет issues, pull requests, проверки и репозитории. Для разработки эта пара даёт контекст задачи и место, где фиксируется результат.
Начните с чтения. Если сервер умеет создавать ветки, закрывать issue или объединять pull request, включайте такие действия отдельно. Один токен с доступом ко всей организации удобен в демонстрации и опасен в ежедневной работе. Лучше отдельная учётная запись, минимальные scopes и репозиторий-песочница для первой проверки.
База данных, Slack и Drive требуют другого уровня осторожности
Postgres-сервер полезен для чтения схемы, диагностики запросов и анализа данных. Но read-only пользователь должен быть реальным ограничением базы, а не обещанием в системном промпте. Для production-запросов добавьте statement timeout, запрет на чувствительные схемы и аудит. Slack и Google Drive могут раскрыть сообщения и документы, которые пользователь не собирался включать в задачу; ограничивайте пространства, каналы и папки.
Ресурсы MCP удобны для контекста, инструменты — для действий. Если задачу можно решить ресурсом только для чтения, не выдавайте write-инструмент. Особенно это важно для биллинга, CRM, удалённой консоли и инфраструктуры.
Browser MCP и PhonePi нужны для интерфейсов, а не вместо API
Browser MCP позволяет агенту взаимодействовать с веб-страницей, а PhonePi MCP переносит похожий подход на Android-устройство. Это полезно для проверки интерфейса, воспроизведения пользовательского пути и системы, у которой нет подходящего API. Но UI-автоматизация медленнее и хрупче прямого API: меняются селекторы, сессии, диалоги и разрешения.
Используйте MCP-мост к браузеру или телефону там, где важен сам интерфейс. Для массовой синхронизации данных, биллинга или критичной записи лучше официальный API с идемпотентностью и журналом операций.
Сервер — не расширение, не API-ключ и не готовая интеграция
Расширение устанавливает пользовательский интерфейс или поведение в приложении. API-ключ подтверждает, кто обращается к сервису. Интеграция описывает готовый бизнес-сценарий. MCP-сервер — программный контракт, через который хост обнаруживает возможности и вызывает их. Сервер всё равно может требовать API-ключ, OAuth или локальную авторизацию; сам протокол не создаёт права из воздуха и не гарантирует качество реализации.
Проверяйте издателя, репозиторий, зависимости, способ обновления и список объявленных tools. Если сервер устанавливается командой из случайного README, он запускает код с вашими локальными правами. Зафиксируйте версию и сначала изучите конфигурацию без секретов.
Минимальный набор лучше каталога из двадцати серверов
Для разработчика разумная последовательность такая: локальные файлы в разрешённом корне, один репозиторий GitHub, затем браузер для проверок. База, чаты и облачные документы добавляются только под конкретный повторяемый сценарий. После недели использования удалите подключения, которые не приносят пользы.
До включения записи ответьте на пять вопросов: какие данные сервер видит, какие действия выполняет, где хранятся секреты, кто подтверждает необратимое действие и где остаётся журнал. MCP снижает стоимость интеграции, но не отменяет модель угроз. Хорошая конфигурация делает агента полезнее именно потому, что не даёт ему всего сразу.