> For the complete documentation index, see [llms.txt](https://docs.devolutions.net/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.devolutions.net/cli/de/anleitungen/ai-agents/limit-tools.md).

# Einschränken, was ein Agent tun kann

Den MCP-Server von Devolutions CLI auf schreibgeschützte Werkzeuge beschränken, zerstörerische Werkzeuge ausblenden, Geheimniswerte vom Modell fernhalten oder eine kurze Liste von Werkzeugen zulassen.

Standardmäßig gibt `devo mcp` Ihrem KI-Client jedes Tool, das es hat: Tresore und Einträge lesen, ändern und löschen, Zugriff verwalten und Geheimniswerte auflösen. Die meisten Agenten brauchen weit weniger. Fügen Sie Einschränkungsoptionen zum Befehl `devo mcp` in der Konfiguration Ihres Clients hinzu, und die Tools, die Sie ausblenden, erreichen das Modell nie.

## Die richtige Option wählen

<table><thead><tr><th width="230">AUSWÄHLEN</th><th>WAS PASSIERT</th><th>VERWENDEN, WENN</th></tr></thead><tbody><tr><td><code>--read-only</code></td><td>Nur als nur Lesen markierte Werkzeuge bleiben. Nichts, das Daten erstellt, ändert, verschiebt oder löscht.</td><td>Der Agent erkundet oder berichtet: Einträge suchen, Zugriff prüfen, Protokolle lesen.</td></tr><tr><td><code>--deny-destructive</code></td><td>Verbirgt als zerstörend markierte Tools, etwa das Löschen eines Eintrags, eines Tresors, einer Gruppe, eines Benutzers oder von Variablen sowie das Neustarten oder Anhalten des Hintergrundprozesses. Tools, die Daten erstellen oder aktualisieren, bleiben.</td><td>Der Agent darf Ihre Tresore organisieren, aber nichts löschen.</td></tr><tr><td><code>--deny-open-world</code></td><td>Blendet Werkzeuge aus, die als fähig markiert sind, externe Hosts oder Netzwerke zu erreichen. Kein Werkzeug, das der Server heute bereitstellt, trägt diese Markierung, daher hat diese Option derzeit keine Wirkung.</td><td>Ihre Richtlinie verlangt es, daher ist die Einstellung bereits gesetzt, falls solche Werkzeuge hinzugefügt werden. Prüfen Sie mit <code>devo mcp catalog</code>, was sie ausblendet.</td></tr><tr><td><code>--deny-tool &#x3C;tool></code></td><td>Blendet die von Ihnen genannten Werkzeuge aus. Wiederholen Sie sie für mehrere Werkzeuge.</td><td>Ein bestimmtes Werkzeug darf nie verfügbar sein, etwa <code>RDM_resolve_secret_reference</code>.</td></tr><tr><td><code>--allow-tool &#x3C;tool></code></td><td>Behält <strong>nur</strong> die Werkzeuge, die Sie nennen. Wiederholen Sie sie für mehrere Werkzeuge.</td><td>Der Agent hat eine Aufgabe und braucht zwei oder drei Werkzeuge.</td></tr></tbody></table>

{% hint style="warning" %}
`--deny-destructive` verbirgt nicht jede Änderung. Das Gewähren oder Entziehen des Tresorzugriffs, das Aktualisieren oder Verschieben von Einträgen und das Erstellen von Tresoren sind nicht als zerstörend markiert. Wenn der Agent nichts ändern darf, verwenden Sie `--read-only`.
{% endhint %}

## Geheime Werte vom Modell fernhalten

Das Tool `RDM_resolve_secret_reference` gibt den Wert eines Geheimnisses an Ihren KI-Client zurück. Das Lesen eines Geheimnisses ändert Ihren Tresor nicht, daher ist dieses Tool als schreibgeschützt markiert, und `--read-only` behält es.

Um sicherzustellen, dass kein geheimer Wert das Modell erreicht, verweigern Sie ihn nach Namen:

```bash
devo mcp --read-only --deny-tool RDM_resolve_secret_reference
```

Wenn der Agent eine Anmeldeinformation braucht, um ein Tool auszuführen, lassen Sie ihn stattdessen `devo secret run` verwenden. Der Wert geht nur an dieses Tool. Siehe [Einem Agenten eine Anmeldeinformation geben, ohne sie offenzulegen](/cli/de/anleitungen/ai-agents/run-an-agent.md).

## Optionen kombinieren

Sie können mehrere Optionen zusammen verwenden. Ein Werkzeug wird nur bereitgestellt, wenn es jede Regel erfüllt:

1. Ein in `--deny-tool` genanntes Werkzeug bleibt immer ausgeblendet, auch wenn Sie es auch in `--allow-tool` nennen.
2. Wenn Sie `--allow-tool` verwenden, wird jedes Werkzeug, das Sie nicht genannt haben, ausgeblendet.
3. `--read-only`, `--deny-destructive` und `--deny-open-world` gelten dann für das, was übrig bleibt. `--allow-tool` setzt sie nicht außer Kraft: Ein zerstörendes Tool, das Sie zulassen, bleibt durch `--deny-destructive` verborgen.

Werkzeugnamen unterscheiden nicht zwischen Groß- und Kleinschreibung. Zum Beispiel, um einem Agenten zu erlauben, Einträge zu suchen und zu lesen, und sonst nichts:

```bash
devo mcp --allow-tool RDM_search_entries --allow-tool RDM_get_entry
```

In der Konfiguration Ihres Clients ist jede Option und jeder Wert ein eigenes Element in `args`:

```json
{
  "mcpServers": {
    "devolutions": {
      "command": "devo",
      "args": ["mcp", "--read-only", "--deny-tool", "RDM_resolve_secret_reference"]
    }
  }
}
```

## Ihre Konfiguration in der Vorschau anzeigen

`devo mcp catalog` listet die Werkzeuge auf, ohne den Server zu starten, und akzeptiert dieselben Einschränkungsoptionen:

```bash
devo mcp catalog --read-only --deny-tool RDM_resolve_secret_reference --json
```

Im Ergebnis zeigt jedes Tool `visible` (mit diesen Optionen verfügbar gemacht), `readOnly`, `destructive`, `openWorld` und `sensitive`. Die Textausgabe zeigt nur die ersten 25 verfügbar gemachten Tools, verwenden Sie daher `--json`, um alle zu sehen.

{% hint style="info" %}
Die Vorschau markiert `RDM_resolve_secret_reference` immer als ausgeblendet (`"sensitive": true`), weil sie die Werkzeuge weglässt, die Geheimniswerte zurückgeben. `devo mcp`, das Ihr KI-Client startet, stellt es bereit, sofern Sie es nicht mit `--deny-tool` verweigern oder aus `--allow-tool` ausschließen. Verlassen Sie sich nicht auf die Vorschau, um zu erkennen, ob Geheimniswerte das Modell erreichen können: Prüfen Sie Ihre Optionen `--deny-tool` und `--allow-tool`.
{% endhint %}

## Gut zu wissen

* Die Einschränkungen gelten, wenn der Server startet. Um sie zu ändern, bearbeiten Sie die Konfiguration Ihres Clients und starten Sie den Server aus Ihrem Client neu.
* Einschränkungen begrenzen die MCP-Tools, nicht Ihren Zugriff. Der Server handelt weiterhin mit Ihren Berechtigungen im Workspace. Für einen Agenten, der weniger sehen muss, melden Sie ihn mit einem Konto oder einem Anwendungsschlüssel an, der weniger Berechtigungen hat, in einem eigenen Kontext. Siehe [Zwischen Workspaces wechseln](/cli/de/anleitungen/connect/switch-workspaces.md).
* Der Agent kann immer `devo`-Befehle in einer Shell ausführen, wenn Ihr Client es zulässt. MCP-Einschränkungen gelten nicht für diese Befehle. Siehe [Einem Agenten eine Anmeldeinformation geben, ohne sie offenzulegen](/cli/de/anleitungen/ai-agents/run-an-agent.md).

## Weiter

* [Connect an AI client with MCP](/cli/de/anleitungen/ai-agents/connect-mcp.md)
* [What stays hidden, and what doesn't](/cli/de/anleitungen/understand/security-model.md)
* [Commands](/cli/de/referenz/commands.md)


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.devolutions.net/cli/de/anleitungen/ai-agents/limit-tools.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.