סוכן במצב קריאה בלבד

עודכן 30.08.2026

מחברים סוכן AI למערכת חיה, ורוצים שהוא יוכל לענות על שאלות בלי שיוכל לשנות דבר. העמוד הזה נותן את הרשימה המדויקת, ומסביר איפה הגבול באמת נאכף.

שכבה 1 — רשימת היתר אצל הלקוח. מגדירים לסוכן אילו כלים מותר לו לקרוא. זו מדיניות, לא קיר: מי שיכול לערוך את הקונפיגורציה של הסוכן יכול לבטל אותה, ובאג בשכבת התזמור עוקף אותה.

שכבה 2 — הרשאות ה‑MCP של המשתמש. נאכפות בשרת, ואינן ניתנות לעקיפה מצד הלקוח. זו השכבה היחידה שמחזיקה מול טעות.

סוכן שמחובר עם Application Id + API Key מקבל שכבה 1 בלבד — האישור הזה עוקף כל הרשאת טבלה ופועל כמשתמש־על Master. בשביל גבול אמיתי, החיבור חייב להיות התחברות משתמש, למשתמש שקיבל הרשאת Read ולא Create/Update. ראו שתי דרכי החיבור.

מה נספר כ“משנה” — וכללי הסיווג

הסיווג הוא לפי היכולת של הכלי, לא לפי הקריאה הבודדת. כלי הוא כתיבה אם הוא יכול לגרום לאחד מאלה:

הסוג	דוגמאות
שינוי נתונים	יצירה, עדכון, טעינה המונית
שינוי סכימה	טבלה חדשה, שדה חדש
שינוי דף או ממשק	HTML, CSS/JS, אלמנטים, תפריטים
שינוי הרשאות	CLP, תפקידים, חברות, מושבי רישוי
תקשורת יוצאת אל אדם אמיתי	הודעת WhatsApp
חשיפה ציבורית של קובץ	URL בלי אימות

Send-WhatsApp-Message יודע לרוץ במצב גילוי טהור: getNumbers: true או getTemplates: true מחזירים מידע ולא שולחים כלום. מבחינת הנתונים במערכת — קריאה.

הוא בכל זאת כתיבה, כי אותו כלי עצמו שולח הודעה ללקוח אמיתי כשמעבירים לו phoneNumber ו‑message. רשימת היתר מתירה כלי, לא צירוף פרמטרים: ברגע שהכלי ברשימה, כל קריאה אליו מותרת.

אותו היגיון חל על Upload-Public-File: הוא לא משנה שום רשומה, ובכל זאת יוצר URL ציבורי בלי אימות.

הכלל: אם יש צירוף פרמטרים אחד שגורם לנזק בלתי הפיך — הכלי מחוץ לרשימה.

29 הכלים הקוראים — רשימת ההיתר

זוהי הרשימה המלאה, מול tools/list החי של השרת (67 כלים). סוכן שמוגבל אליה אינו יכול לשנות דבר, לשלוח דבר או לחשוף דבר.

Usage-Guide
Get-Schema
Get-Data
Count-Data
Aggregate-Data
Get-Current-User
Get-all-Users
Get-Packages
Get-Roles
Get-Role-Users
Get-Table-Permissions
Get-Triggers
Get-Timeline-Settings
Get-Form-Rules
Get-Site-Pages
Get-Sites
Get-Page-Content
Get-Page-Settings
Get-Page-Versions
Get-Page-Version
Get-Optional-Fields
Get-Menus
Get-Menu-Items
Get-Reports
Get-Terminology-Dictionary
Get-Price-Quote-Templates
Get-SMTP-Accounts
Get-WhatsApp-Template-Params
Get-File-Content

מה שסוכן כזה יודע לעשות בפועל, וזה לא מעט: לענות על שאלות נתונים ואגרגציה, לתאר את מבנה המערכת והסכימה, לבקר הרשאות ותפקידים, להסביר אילו אוטומציות קיימות ומה הן עושות, לאתר תקלות מול היומנים, ולהכין תוכנית שינוי שאדם יאשר ויבצע.

38 הכלים המשנים — לפי הסיכון

הקבוצה	הכלים	מה יכול להשתבש
נתונים (3)	`Create-Data`, `Create-Many`, `Update-Data`	רשומות שגויות · סופת טריגרים שמגיעה ללקוחות · אין מחיקה, אז אין ניקוי קל · שם שדה שגוי יוצר עמודה
סכימה (2)	`Create-Table`, `Add-Field-to-Table`	טבלה או שדה שאי אפשר להסיר מ‑MCP
דפים (7)	`Create-Form-Page`, `Edit-Page`, `Edit-Page-CSS-JS`, `Set-Page-Settings`, `Set-Page-Version`, `Add-Container-to-Page`, `Duplicate-Element`	`Edit-Page-CSS-JS` דורס את כל הבלוק · `Set-Page-Version` דורס את התוכן הנוכחי, בלתי הפיך
דשבורדים (4)	`Add-Edit-Text-Element`, `Add-Edit-Counter-Element`, `Add-Edit-Chart-Element`, `Add-Edit-Tabs-Element`	פגיעה בדף שכל המשתמשים רואים
טבלאות תצוגה (3)	`Create-Table-View-Page`, `Edit-Table-View`, `Add-Table-View-to-Form-Page`	שינוי מסך העבודה המרכזי
כללי טופס (2)	`Edit-Form-Rules`, `Set-Form-Rules`	`Set-Form-Rules` מחליף את כל הכללים בדף
טריגרים (2)	`Set-Trigger`, `Set-Trigger-Action`	אוטומציה שרצה על נתוני עבר · אין מחיקת טריגר · בגרסאות שרת ישנות: עדכון חלקי של טריגר מתוזמן דרס אותו
ציר הזמן (1)	`Set-Timeline-Settings`	דורס את הגדרת הרישום של הטבלה ל‑`_Timeline`; מיפוי שגוי שובר שאילתות על היומן — אינדקס הכלים
משתמשים ורישוי (2)	`Create-or-Update-User`, `Set-Package-for-User`	יצירת גישה למערכת · שחרור מושב שחוסם התחברות
תפקידים והרשאות (4)	`Create-Role`, `Add-Users-to-Role`, `Remove-Users-from-Role`, `Set-Table-Permissions`	`Set-Table-Permissions` מחליף את כל ה‑CLP — השמטת מפתח מבטלת הרשאה בשקט
תפריטים (1)	`Set-Menu-Items`	ניווט שבור לכל המשתמשים
דוחות (1)	`Create-or-Update-Report`	דוח עם משלוח מתוזמן שיוצא לאנשים
מינוח (2)	`Set-Terminology-Dictionary`, `Replace-Terms`	`Replace-Terms` מבצע החלפת מחרוזות ב‑HTML — יכול לשבור דף
הצעות מחיר (2)	`Create-Update-Price-Quote-Template`, `Create-Price-Quote`	עריכת תבנית משפיעה על כל ההצעות העתידיות
קבצים (1)	`Upload-Public-File`	URL ציבורי לצמיתות על `static.mbapps.co.il` — ואין מסלול API למחיקתו
הודעות (1)	`Send-WhatsApp-Message`	הודעה ללקוח אמיתי. בלתי הפיך.

שכבה 2 — הרשאות ה‑MCP של המשתמש

זה מה שנאכף בשרת, ולכן זה מה שחשוב.

למשתמשים אין גישת MCP כברירת מחדל (גם ל‑owner). מעניקים אותה בסביבת הפיתוח: תפריט המשתמש ← סביבת פיתוח ← Databases ← המערכת ← לשונית Users ← עיפרון על כרטיס המשתמש ← לשונית MCP Permissions ← Apply. הלשונית מציגה שלוש הרשאות:

ההרשאה	המפתח הפנימי	מה היא מתירה
Read	`mcp:view`	שליפה, ספירה, אגרגציה, קריאת סכימה והגדרות
Create	`mcp:create`	יצירת רשומות
Update	`mcp:update`	עדכון רשומות

ב‑DOM של הלשונית יש הרשאה רביעית, מוסתרת: mcp:edit-page-and-schema — “Edit pages and schema (admin role is required)”. היא מסבירה למה כלי הדפים והסכימה אינם נכנסים תחת Create/Update, ואינה ניתנת לסימון מהממשק.

סוכן קריאה־בלבד = משתמש ייעודי עם Read בלבד.

הלשונית עצמה מצהירה: “The use of the MCP is subject to the subscription plan”. במערכת ללא חבילה שלוש התיבות מנוטרלות (disabled) לכל משתמש כולל ה‑owner, ו‑Apply אינו שולח שום בקשה לשרת. חיבור עם X-Parse-Session-Token של משתמש במערכת כזו נדחה ב‑HTTP 403 — {"code":-32000,"message":"No permissions to access the MCP server"} — לכל כלי, כולל Get-Current-User.

כלומר: האכיפה בשרת קיימת, אבל במערכת בדיקות/סנדבוקס ללא חבילה אין דרך להעניק את ההיתר, וסוכן מולה מקבל שכבה 1 בלבד (חיבור Master / API Key). אכיפה בפועל דורשת מערכת עם חבילה.

שלוש נקודות שקובעות אם זה באמת עובד:

ה‑MCP לעולם לא חורג מהתפקיד. ההרשאות האלה מצטמצמות עם הרשאות הטבלה (CLP) של המשתמש — הן לא מרחיבות אותן. משתמש שאין לו find על Sales (במערכת vanilla: רק role:CRM, role:Admin, role:Sales) לא יראה מכירות גם עם Read.
השימוש כפוף גם לחבילת המנוי, בנוסף לזכויות ברמת הטבלה — ראו המגבלה למעלה.
אישור שגוי לא מופיע כשגיאת HTTP. בחיבור Master / API Key עם מפתח שגוי התשובה חוזרת 200, והשגיאה יושבת בתוך תשובת הכלי: Error: Permission denied for action find on class Accounts. (הנוסח שונה מכלי לכלי — הטבלה המלאה). רק סשן משתמש בלי הרשאת MCP, או היעדר כותרות אימות לגמרי, מחזירים 403 אמיתי. סוכן שבודק רק קוד סטטוס יחשוב שהצליח.

“קריאה בלבד” אינה “בלי סיכון”

סוכן קורא לא ישבור את המערכת, אבל הוא רואה הכול:

Get-Data על _User מחזיר את רשימת העובדים עם אימיילים וטלפונים.
Get-all-Users מוסיף להם מצב פעילות והתחברות אחרונה — ובגרסה הנוכחית גם את היסטוריית סיסמאות ה‑hash. זה כלי קריאה לפי הסיווג, ולא בהכרח כלי שרוצים ברשימת ההיתר.
Get-Data על _Timeline הוא היסטוריית השינויים המלאה — מי שינה מה ומתי.
Get-Data על טבלאות עסקיות מחזיר את בסיס הלקוחות, הסכומים והמחירים.
Get-SMTP-Accounts חושף את זהויות השליחה של הארגון.
Get-File-Content והמשאב get-file מחזירים תוכן של קבצים — כולל PrivateFile (מסמכים חתומים) דרך resource_link.

מה שנגזר מזה, בנפרד לגמרי משאלת הכתיבה:

השאלה	מה לוודא
לאן התשובות זולגות	מודל חיצוני, לוגים, שיחות שנשמרות — הנתונים עוברים דרך כולם
מי מפעיל את הסוכן	משתמש ייעודי עם CLP מצומצם, לא חשבון של מנהל
מה נכנס להיסטוריה	פלט של `Get-Data` בתוך תשובת סוכן הוא עותק של הנתונים במקום נוסף
האם `Get-File-Content` צריך להיות ברשימה	הוא קורא קבצים; אם הם מכילים מסמכי לקוח, שקלו להוציא אותו

תבנית עבודה — “תכנן, ואדם יבצע”

הדפוס שנותן ערך אמיתי בלי לוותר על הגבול:

1. הסוכן במצב קריאה: Get-Schema, Get-Data, Get-Triggers, Get-Table-Permissions
2. הוא מנסח תוכנית שינוי — הקריאות המדויקות, על מה הן ישפיעו, ומה בלתי הפיך
3. אדם קורא, מאשר או מתקן
4. הביצוע רץ בהקשר מורשה — הפעלה ידנית, או סוכן שני עם הרשאת כתיבה מוגבלת לטבלאות שסוכמו

השלב שמשלם על עצמו הוא 2: הסוכן ממילא צריך לקרוא את המערכת כדי לתכנן, וקריאת התוכנית לוקחת דקה. מה שהיא חוסכת — טעינה של 5,000 שורות עם בעלים שגוי, שאין ממנה דרך חזרה כי אין כלי מחיקה.

המשך

אינדקס הכלים המלא — הסיווג קריאה/כתיבה לכל כלי
שרת ה‑MCP — חיבור, OAuth והרשאות MCP
מתכונים — מה סוכן קורא עושה בפועל
אימות והרשאות · שגיאות ופתרון תקלות