mcp.enforceモジュール 04MCP サーバーの前段にゲートを置き、各ツール呼び出しを他のインテントと同様に承認判定します。拒否された呼び出しはサーバーに届きません。
mcp.enforce は、エージェントが MCP ツールを呼べるかを Intralock に問い合わせ、モデルを介さずに判定結果を返します。同じゲートウェイは、ワークスペースのモードに従って登録済みの上流へ呼び出しを転送することもできます。observe は記録、advise は報告、enforce は拒否します。
© 2026 Intramedial. All rights reserved. IntramedialはTrustviceの製品です。 Secured and supercharged by Avonao Labs.
不正利用の報告mcp/enforce は許可か拒否を返すだけで、何も転送しません。ゲートウェイに呼び出しの承認判定、除去、転送、検査を任せるには、upstream-add で上流を登録し、呼び出しを mcp/call に送ってください。
プレーンのモジュール
actorDidtoolresource が送られない限り、承認判定されるリソースにもなります。resourceaction既定です。call は承認判定なしで転送し、呼び出しを observed と記します。ワークスペースのシャドウログには、エージェントが行おうとしたことが蓄積されます。
call はインテントを承認判定し、would be refused のようにプレーンが返すはずだった結果を報告しますが、転送は行います。宣言済みの変換は引き続き適用されます。
共有デモワークスペースでデモ用キーを使って実行します。中身は誰でも見られるため、非公開の情報は送らないでください。 mcp.enforceの資料
実行を押すと、左のリクエストが共有デモワークスペースに送信されます。
共有デモワークスペースでデモ用キーを使って実行します。中身は誰でも見られるため、非公開の情報は送らないでください。
APIが受け付ける形のリクエストと、モジュールが返す形のレスポンス例です。
POST /api/v1/acp/mcp/enforce Authorization: Bearer av_workspace_•••• Content-Type: application/json { : , : }
bash や fs.write という名前のツールは書き込みとして承認判定されるため、実行前に付与が必要で、確認の下限があれば人による承認も必要です。
observe で1週間運用します。shadow はプレーンが見た直近50件の呼び出しを示すので、どれが拒否されたはずかを確認できます。
モジュールは、狭い範囲について強く保証します。保証されることだけを頼ってください。
enforce は Intralock の承認判定を実行するため、判定は coordination.admit と同じ純粋関数の答えになること。enforce モードでは、拒否された call は転送されないこと。レスポンスは forwarded: false を示し、上流へのリクエストは送られません。enforce は shadow: false のシャドウ行に加えて、allow、reason、承認判定された action、llm: false、protocolVersion を返します。
ワークスペースのAPIキーをBearerトークンとして認証します。ベースURLは https://api.intramedial.com です。
/api/v1/acp/mcp/enforceツール呼び出しを承認判定して判定結果を返します。転送はしません。/api/v1/acp/mcp/call呼び出しを承認判定、除去、転送、検査して上流に通します。
fs.write のように名前が変更系に見えるツールは、何を送っても write として承認判定されます。保持されるのは delete のみです。confirmationTokenallowreasonquarantine や付与の欠如など。llmfalse。判定は純粋関数から得られます。protocolVersioncall はインテントを承認判定し、許可された場合のみ転送します。拒否された呼び出しは forwarded: false を返し、ゲートウェイの外には出ません。
mode は observe、advise、enforce のいずれかを受け取り、ワークスペースに保存します。切り替える前に、まず observe で始めて shadow を読んでください。
upstream-add は MCP サーバーを URL で指定します。任意で接続用の資格情報や、ツールを分類するマッピングパックを付けられます。
call は actorDid、upstream、tool、args を受け取ります。ゲートウェイがアクションとリソースを導き、インテントを承認判定して、許可なら転送します。
enforce は actorDid と tool を受け取り、Intralock から allow と reason を返します。呼び出しを自前のコードで行う場合に使います。
{
"mode": "observe",
"shadow": false,
"event": {
"actorDid": "did:web:acme.example:agent:support",
"tool": "fs.write"
},
"advise": null,
"allow": false,
"reason": "no_grant",
"action": "write",
"llm": false,
"protocolVersion": "2026-07-28"
}call は上流の返信を検査し、指示の形をしたテキストを無害化して provenance の instructionShaped を設定します。ツールの結果が指示を装うことはできません。advise と enforce では、call は引数から command と shell を取り除き、除去した名前を stripped に列挙します。
coordination.admit を使ってください。ゲートウェイがそれを呼び出します。coordination.approve を使います。ゲートウェイは approvalId を返すだけです。repo: リソースを承認判定して結果を GitHub に返す github.enforce を使ってください。mcp.shadow イベント、呼び出しごとに mcp.call イベントが台帳に追記されること。read や call に格下げできないこと。instructionShaped フラグはテキストに対するヒューリスティックで、保証ではありません。mode が使われたモードであること。enforce では保存されたモードを返すため observe のこともありますが、判定は常に Intralock のものです。write は、call から allow: false と approvalId で返ります。enforce ルートが返すのは allow と reason だけです。上流は、各ツールのアクションとリソースを指定するマッピングパックを持てます。マッピング済みのツールは、既定ではなくそのリソースに対して承認判定されます。
mode、upstream-add、upstream-remove には policies.approve が必要です。enforce、call、shadow には固有の権限がなく、承認判定の結果が制御になります。
call は上流を 8000 ms でタイムアウトし、1 MiB を超える返信を拒否します。shadow は直近50件のイベントを返します。actorDid または tool のない enforce は 400 を返し、upstream のない call も同様です。/api/v1/acp/mcp/mode/api/v1/acp/mcp/shadow直近50件の観測イベントを一覧表示します。/api/v1/acp/mcp/upstream-add上流の MCP サーバーを登録します。coordination.mcp.enforceエージェントから判定を求めます。coordination.mcp.modeエージェントからモードを設定します。coordination.mcp.shadowエージェントからシャドウログを読み取ります。coordination.approve05github.enforce29GitHub write gateエージェントが付与を持ち、書き込みなら人が確認した場合を除き、コミットのチェックを赤にします。saas.admit30SaaS connector admissionエージェントが SaaS ソースに触れてよいかを問い合わせます。書き込みも、他のすべてを守るのと同じチェックを通った後にのみ許可します。iam.assume31Cloud credential brokerエージェントには、ロールに有効なリースを持つ間だけ短期のクラウド資格情報を渡し、資格情報はリースとともに失効させます。coordination.halt06Emergency stop switches1つのエージェント、マンデート、リソースを即座に止め、理由を記録し、安全になったら停止を解除します。coordination.quarantine32Agent quarantineエージェントを承認判定の段階で遮断します。ただし二人目の承認か、まさにそのエージェントを名指しした裁定がある場合に限ります。