MCP-сервер предоставляет агенту инструменты и контекст, расширяя его действия за пределы встроенных. Важно сразу развести роли трёх механизмов: MCP-сервер даёт tools, skill объясняет workflow вокруг них, а plugin может упаковать оба. Они дополняют друг друга, а не заменяют. И ключевая оговорка безопасности та же, что и везде: подключение сервера не делает его доверенным автоматически - это внешний источник, к которому применяют обычную настороженность.

Подключение сервера устроено единообразно и проверяемо. Полезно один раз увидеть команды. Ниже - добавление удалённого сервера по URL, список серверов и /mcp verbose в TUI для диагностики. Codex поддерживает и remote-серверы по Streamable HTTP, и локальные stdio-серверы, запускаемые как процесс. Разные транспорты - для разных источников: удалённый сервис по HTTP, локальный инструмент через stdio, - но модель подключения и проверки у них общая.

Полезно один раз увидеть и декларативную настройку сервера в config. Ниже - секция mcp_servers с URL, флагом required и таймаутами запуска и вызова инструмента. Таймауты здесь не формальность: startup_timeout_sec ограничивает ожидание готовности сервера, tool_timeout_sec - отдельный вызов. Required задаёт, обязателен ли сервер: если критичный для задачи сервер помечен required, его недоступность становится явной ошибкой, а не тихо пропущенной возможностью.

Локальные stdio-серверы подключают так же декларативно, но с командой запуска. Ниже - добавление сервера, который стартует через npx как дочерний процесс. Разница с remote в том, что локальный сервер - это исполняемый код, запускаемый на вашей машине с её правами, поэтому его источник проверяют так же, как любой сторонний скрипт. Удобство "одной команды" не отменяет того, что вы запускаете чужой процесс рядом со своим кодом и доступами.

Tool policy - это то, что превращает подключение сервера в контролируемую границу. В настройке сервера перечисляют enabled_tools и disabled_tools, задают default_tools_approval_mode и уточняют режим для отдельных инструментов. Полезно один раз увидеть такой фрагмент. Ниже - сервер, где разрешены search и read_record, запрещён delete_record, а режим подтверждения для чтения задан отдельно. Это принцип наименьших полномочий на уровне инструментов: включают ровно то, что нужно, а опасное отключают явно.