Подключение внешних систем по протоколу инструментов расширяет агента за пределы репозитория: он получает типизированные инструменты, ресурсы, готовые запросы и возможность запросить у вас структурированный ввод. Транспортов три - локальный процесс через стандартные потоки, потоковый HTTP и вариант на серверных событиях. Конфигурация живёт в проектном и пользовательском файлах, и это тот же принцип слоёв, что и везде: проектный файл описывает то, что нужно всей команде, пользовательский - то, что нужно лично вам.

Наивное отношение - подключить сервер, потому что он удобен, и на этом успокоиться. Но сервер получает ровно те полномочия, которые даёт протокол, и действует во внешней системе от вашего имени. Красивое название и популярность в списке - не проверка безопасности. Подключение внешнего инструмента ближе к установке зависимости, чем к добавлению закладки: оно расширяет поверхность и требует того же внимания.

Полезно один раз увидеть конфигурацию с обоими транспортами. Ниже - локальный сервер, запускаемый как процесс с файлом переменных окружения, и удалённый по HTTP с заголовком авторизации, значение которого берётся из окружения. Ключевая деталь во втором случае: токен не написан в файле буквально, а подставляется. Литеральный секрет в конфигурации, лежащей в репозитории, - это утёкший секрет, даже если репозиторий приватный.

Подстановка поддерживает не только переменные окружения, но и домашний каталог, папку рабочей области, её имя и разделитель путей. Это полезнее, чем кажется: конфигурация становится переносимой между машинами и операционными системами без правки, а разделитель путей снимает вечную разницу между Windows и остальными. Для удалённых серверов с авторизацией через внешний провайдер есть поля клиента и области доступа - и именно области доступа стоит просматривать внимательнее всего, потому что они определяют, что сервер сможет сделать от вашего имени.

Важно, что инструменты внешних серверов подчиняются общему режиму работы и обычно требуют подтверждения. Это не дублирование, а правильная композиция: режим определяет, спрашивают ли вас, а политика сервера - какие инструменты вообще доступны. Администраторы команды раздают общие серверы, а ограничивать набор серверов, конкретные инструменты и сетевые адреса может администратор организации. А в протоколе взаимодействия с редакторами серверы командного уровня не поддерживаются - там работает только проектная и пользовательская конфигурация.