Права - вторая половина дела, и здесь работает принцип минимальных grants. По умолчанию Devin Local спрашивает подтверждение перед каждым вызовом MCP-инструмента. Разрешайте не всё сразу, а по возрастающей: сначала конкретный инструмент, затем, если он вызывается часто, весь сервер; сначала на текущую сессию, и лишь потом - навсегда. Постоянные разрешения удобно держать явным списком в permissions.allow, где шаблон mcp__server__tool разрешает один инструмент, mcp__server__ - весь сервер, а mcp__ - вообще все. Разница между этими шаблонами - это разница в радиусе доверия, а не в удобстве записи.

Секреты требуют отдельной дисциплины, потому что цена ошибки здесь необратима. Ключи и токены не должны попадать в проектный конфиг, который уходит в репозиторий; их место - в локальном override или в подстановке значений, которую поддерживает конфиг: ${env:ИМЯ} берёт переменную окружения, ${file:/путь} читает значение из файла. Если удалённый сервер ходит по OAuth и токен истёк, сервер показывает состояние Needs auth в списке MCP и на карточке; кнопка Authenticate очищает сохранённые данные и заново проходит авторизацию. Это штатный ход, а не ошибка.

Цена невнимания к правам не абстрактна и не ограничивается секретами. Инструмент, безобидный по названию, может возвращать чувствительные данные: "read-only" описывает право на запись, а не безвредность содержимого. Локальный MCP-сервер - это процесс, запущенный на вашей машине с вашими правами, то есть потенциально произвольный код из чужого репозитория. Спецификация MCP прямо трактует это как поверхность атаки и требует минимальных привилегий и осознанного согласия. Поэтому перед выдачей доступа проверяют не только имя инструмента, но и сам сервер, его источник и схему того, что он возвращает.

Проверять результат стоит другим способом, чем настраивали. Открыли конфиг и вписали сервер - подтвердите фактическое состояние в интерфейсе: панель Customizations и список MCP показывают, какие серверы реально загружены и в каком они статусе; сервер в Needs auth ещё не подключён. Пройдите по permissions.allow и убедитесь, что там нет случайного mcp__*, оставшегося от отладки. Загляните в .local.json и в diff проектного файла: ни один ключ не должен оказаться в том, что уходит в репозиторий. Три эти взгляда занимают минуту и снимают обе тихие проблемы разом.

Типичные провалы предсказуемы. Ключ, вписанный в .devin/mcp_config.json вместо .local.json, тихо утекает в историю git - и отзывать его придётся уже как скомпрометированный. Разрешение mcp__* "чтобы не спрашивало" отдаёт агенту весь набор внешних инструментов без разбора. А удивление "сервер вчера работал, сегодня просит заново" почти всегда объясняется истёкшим OAuth и состоянием Needs auth, а не поломкой. Признак всех трёх один: доступ выдали шире и раньше, чем разобрались, что именно сервер приносит и куда уходит ключ. Сначала область и источник - потом grant.