Разработчик wbb представил GateRook — локальное приложение, которое связывает ИИ-помощников с базами данных, журналами работы сервисов и другими ресурсами. По описанию автора, оно ограничивает доступ, запрашивает подтверждение изменений по заданным правилам и сохраняет историю вызовов. Замысел — дать помощнику рабочие данные, не отдавая ему неограниченные полномочия.
Доступ к данным — не разрешение менять всё
ИИ-помощнику бывает недостаточно исходного кода: для поиска ошибки нужны фактическая структура базы и записи о работе сервиса. Человек может вручную собирать эти сведения и переносить их в чат. GateRook предлагает другой путь: помощник обращается к ресурсу через отдельный шлюз, который проверяет, что ему разрешено.
Для связи используется MCP — интерфейс, через который ИИ-клиент находит доступные инструменты и вызывает их. В GateRook можно разделить ресурсы для разработки и действующей рабочей системы, а каждому клиенту предоставить свой набор подключений. Автор сообщает об открытых исходниках под лицензией Apache 2.0; конфигурация и журнал вызовов хранятся локально.
Среди интеграций перечислены PostgreSQL, MySQL, MongoDB, Redis, поиск по логам и другие ресурсы. Для Claude Desktop, Codex, Cursor и Antigravity предусмотрены способы подключения, но интерфейсы и возможности клиентов различаются.
Шлюз может остановить даже запрос на чтение
В одном из показанных автором примеров помощник отправил запрос к MySQL, не выбрав явно базу данных. Подключение допускало выбор из двух баз. GateRook отклонил вызов до выполнения: запросить у базы сведения о текущем контексте оказалось не тем же самым, что явно задать этот контекст для шлюза.
Здесь различаются два решения: соответствует ли операция обязательным правилам и нужно ли подтверждение человека. По описанию автора, произвольное «одобряю» не отменяет обязательное ограничение. Это существеннее, чем ещё одна кнопка согласия в чате.
Другой пример — поиск в конкретном файле журнала с ограничениями по периоду, объёму сканирования и числу возвращаемых строк. Такой инструмент не требует выдавать помощнику произвольную командную строку. Однако снимок вызова не показывает тело ответа, поэтому по нему нельзя судить, какие записи удалось найти.
Подтверждается конкретное изменение, а не инструмент целиком
В демонстрации с изменением электронной почты тестового пользователя выбранная политика остановила запись до решения человека. В GateRook можно увидеть точный запрос, подключение и окружение. Пока запрос ожидает подтверждения, запись ещё не изменена.
Автор описывает привязку разрешения к сохранённому содержимому запроса: перед выполнением ядро приложения повторно проверяет условия и запускает именно одобренное действие. Клиент не получает права подменить его другим. Показанная оценка одной затрагиваемой строки — лишь подсказка планировщика базы, а не гарантия фактического результата.
Где заканчиваются показанные возможности
Это рассказ создателя проекта, а не независимая проверка защиты. В материалах есть фактические вызовы Claude Desktop и Cursor, но нет оснований считать, что все четыре поддерживаемых клиента прошли одинаковый сценарий. Наличие подключения само по себе этого не доказывает.
Для заранее заданных действий на сервере предусмотрены команды с ограниченными параметрами. Автор отдельно оговаривает: такая обёртка не делает опасную команду безопасной. Полномочия каждого подключаемого инструмента всё равно нужно понимать. Для более широкого контекста пригодится разбор двух случаев потери контроля над ИИ-агентами.
Практический смысл GateRook — в разделении чтения данных, обязательных ограничений и разрешения на конкретную запись. При выборе такого инструмента стоит смотреть именно на эти границы, а не принимать наличие окна подтверждения за обещание полной безопасности.
