Как AI-агент управляет онлайн-школой: MCP простыми словами

Представьте, что вы говорите ассистенту: «Создай воронку для нового курса и собери посадочную страницу с тремя тарифами» — и через минуту это сделано. Не «сгенерируй текст, я сам вставлю», а именно сделано: воронка существует, лендинг опубликован, бот подключён.

Короткий ответ: MCP — это открытый протокол, через который AI-агент получает не право посоветовать, а право действовать: он выполняет операции в вашей платформе от вашего имени, под вашим токеном и в пределах вашей роли. Школе это заменяет десятки кликов в админке одной фразой в чате. Плата за это — новый класс рисков, которые сам протокол не закрывает.

Обновлено 14 сентября 2026: добавлен раздел о спецификации MCP 2026-07-28, переписан раздел о безопасности по рекомендациям NSA, добавлены честные границы подхода.

Что такое MCP простыми словами

MCP (Model Context Protocol) — стандарт, по которому AI-агенты подключаются к сервисам и работают в них от вашего имени. Простейшая аналогия — USB: один стандарт вместо десятков разъёмов. MCP делает то же для искусственного интеллекта: Claude «вставляется» в вашу платформу и получает руки — может не только советовать, но и действовать.

Anthropic открыла протокол в ноябре 2024 года, и за полтора года он стал де-факто стандартом: одно и то же подключение работает и в чате, и в IDE, и в корпоративных агентных системах.

Что изменилось в MCP за 2026 год

28 июля 2026 года вышла ревизия спецификации 2026-07-28 — по словам сопровождающих протокола, самая крупная с момента запуска. Три изменения из неё влияют на то, как MCP выглядит внутри платформ для онлайн-школ.

Протокол стал stateless. Исчезли обмен initialize/initialized и session ID: каждый запрос несёт версию протокола, идентификацию клиента и список возможностей. Практический вывод — MCP-сервер школы можно держать за обычным балансировщиком и масштабировать как обычный HTTP-сервис.

Появился механизм подтверждения посреди действия. Паттерн Multi Round-Trip Requests (MRTR) позволяет серверу остановить вызов, вернуть resultType: "input_required", дождаться ответа человека и продолжить с того же места. Именно это технически включает сценарий «агент спрашивает, прежде чем удалить». В блоге протокола команда Supabase описывает это так: «MRTR changes that — it allows our tools to confirm with the user before it acts». Раньше для этого требовалось держать открытый стрим, поэтому большинство серверов просто ничего не спрашивали.

Авторизацию подтянули к обычным практикам OAuth. Клиенты теперь обязаны проверять параметр iss в авторизационном ответе по RFC 9207, учётные данные привязаны к конкретному серверу авторизации, а Dynamic Client Registration формально устарела в пользу Client ID Metadata Documents.

Вывод для владельца школы один: подтверждение действий и нормальная авторизация стали частью стандарта только летом 2026 года. Всё, что подключалось раньше, работает по более старым правилам.

Что именно агент может сделать вместо вас?

Типичный день владельца школы — десятки мелких операций в админке: добавить урок, поправить цену, сделать рассылку, посмотреть статистику. По отдельности всё просто, вместе — часы рутины.

С подключённым AI-агентом это превращается в команды:

• «Наполни модуль уроками из моего конспекта — разбей на 6 уроков с тестами»
• «Создай воронку в Telegram для вебинара в четверг: напоминание за день и за час»
• «Собери посадочную страницу курса с тарифами Старт и Премиум»
• «Сделай рассылку всем, кто не закончил второй модуль»
• «Сколько мы заработали за неделю и откуда пришли лиды?»

Граница проходит так: агент хорошо делает то, что вы и сами сделали бы руками, но долго. Он не решает, каким должен быть курс, и не знает вашего рынка. Он выполняет — решения остаются вашими.

Безопасно ли давать агенту доступ к школе?

Честный ответ: безопасность здесь — свойство не протокола, а конкретной платформы. В мае 2026 года NSA выпустила отдельный документ о безопасности MCP и сформулировала это прямо: распространение протокола опередило развитие его модели безопасности, а сама спецификация, как её цитирует NSA, «cannot enforce these security principles at the protocol level».

Что NSA перечисляет как слабые места:

• Доступ. Протокол не определяет, как привязать сессию к конкретному человеку. Многие реализации вообще не имеют аутентификации, а те, что имеют, часто не различают прав на чтение и на запись.
• Токены. MCP опирается на bearer-токены OAuth 2.1, но не обязывает управлять их жизненным циклом — ротацию, отзыв и защиту от повторного использования каждый делает сам или не делает.
• Подтверждения. Даже там, где пользователь один раз нажал «разрешить», последующее изменение прав или поведения уже подключённого сервера часто проходит без нового запроса согласия.
• Описания инструментов как вектор атаки. В разобранном кейсе с WhatsApp вредоносный MCP-сервер вёл себя прилично при установке и сменил инструкцию после второго использования — и вытащил переписку через соседний, доверенный сервер.
• Логи. Спецификация даёт лишь базовые рекомендации по логированию, поэтому часть реализаций не пишет ничего — и расследовать инцидент не по чему.

Отсюда пять требований к платформе, прежде чем давать агенту ключи:

1. Отдельный токен именно для агента, отзываемый одним кликом.
2. Роль вместо суперадмина: агент видит одну школу и делает только разрешённое ролью.
3. Журнал действий, где видно, что именно сделал агент.
4. Обязательное подтверждение человеком на разрушительных операциях — массовая рассылка, удаление, изменение цен.
5. Никаких случайных серверов из открытых реестров рядом с тем, что имеет доступ к базе клиентов.

Где этот подход ломается?

Недетерминированность. Одна и та же фраза дважды может дать слегка разный результат. На черновике урока это неважно. На операции «сделай рассылку всем, кто не закончил модуль» разница в толковании фильтра стоит тысячи писем не тем людям. Правило: всё, что затрагивает больше сотни человек или деньги, агент готовит, а запускает человек.

Админка никуда не исчезает. Агент выигрывает на рутине, но проверять результат вы всё равно идёте в интерфейс. Обещание «платформа без админки» — маркетинг, а не инженерия.

Это отдельная статья расходов. Доступ к агенту оплачивается не платформе, а поставщику модели, и растёт вместе с объёмом работы.

Плохая структура остаётся плохой. Если курс не работает, агент просто быстрее сделает из него ещё одну неработающую версию.

Как это работает в CREO

CREO строится как AI-first платформа: курсы, воронки, рассылки и лендинги изначально проектируются так, чтобы ими мог управлять AI-агент через MCP. Это не «прикрученная сбоку» интеграция, а архитектура ядра — поэтому требования из предыдущего раздела (роль, отдельный токен, журнал действий) можно выполнить, а не дорисовывать сверху.

Что уже есть: воронки в Telegram, конструктор продающих страниц, CRM, оплаты через WayForPay и Stripe, геймификация, с которой доходимость курсов держится на уровне 70–80%. Бета-тестирование стартовало в августе 2026 года — и MCP-управление первыми получают именно бета-тестеры.

Вопрос не «придёт ли это в онлайн-образование», а «кто проверит свою платформу до того, как выдаст ключи».

Записаться в ранний список — на platform.creo.ua.

Источники

• The 2026-07-28 Specification — блог Model Context Protocol, 28.07.2026 (обращение 14.09.2026)
• Changelog спецификации 2026-07-28 — modelcontextprotocol.io (обращение 14.09.2026)
• Model Context Protocol (MCP): Security Design Considerations for AI-Driven Automation — NSA, Cybersecurity Information Sheet, май 2026, опубликовано 02.06.2026 (обращение 14.09.2026)