> For the complete documentation index, see [llms.txt](https://docs.devolutions.net/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.devolutions.net/cli/es/guias/ai-agents/limit-tools.md).

# Limitar lo que puede hacer un agente

Restringir el servidor MCP de Devolutions CLI a herramientas de solo lectura, ocultar las herramientas destructivas, mantener los valores de secreto fuera del modelo, o permitir una lista corta de her

De forma predeterminada, `devo mcp` da a su cliente de IA todas las herramientas que tiene: leer, cambiar y eliminar bóvedas y entradas, administrar el acceso y resolver valores de secreto. La mayoría de los agentes necesitan mucho menos. Añada opciones de restricción al comando `devo mcp` en la configuración de su cliente, y las herramientas que oculte no llegan nunca al modelo.

## Elegir la opción adecuada

<table><thead><tr><th width="230">ELIJA</th><th>QUÉ OCURRE</th><th>ÚSELO CUANDO</th></tr></thead><tbody><tr><td><code>--read-only</code></td><td>Solo permanecen las herramientas marcadas como de solo lectura. Nada que cree, cambie, mueva o elimine datos.</td><td>El agente explora o informa: buscar entradas, revisar el acceso, leer los registros.</td></tr><tr><td><code>--deny-destructive</code></td><td>Oculta las herramientas marcadas como destructivas, como eliminar una entrada, una bóveda, un grupo, un usuario o variables, y reiniciar o detener el proceso en segundo plano. Las herramientas que crean o actualizan datos permanecen.</td><td>El agente puede organizar sus bóvedas, pero no debe eliminar nada.</td></tr><tr><td><code>--deny-open-world</code></td><td>Oculta las herramientas marcadas como capaces de alcanzar hosts o redes externos. Ninguna herramienta que el servidor expone hoy lleva esa marca, así que esta opción no tiene efecto por ahora.</td><td>Su directiva lo exige, así que el ajuste ya está en vigor si se añaden esas herramientas. Compruebe lo que oculta con <code>devo mcp catalog</code>.</td></tr><tr><td><code>--deny-tool &#x3C;tool></code></td><td>Oculta las herramientas que nombre. Repítala para varias herramientas.</td><td>Una herramienta concreta nunca debe estar disponible, como <code>RDM_resolve_secret_reference</code>.</td></tr><tr><td><code>--allow-tool &#x3C;tool></code></td><td>Conserva <strong>solo</strong> las herramientas que nombre. Repítala para varias herramientas.</td><td>El agente tiene una sola tarea y necesita dos o tres herramientas.</td></tr></tbody></table>

{% hint style="warning" %}
`--deny-destructive` no oculta cada cambio. Conceder o revocar el acceso a una bóveda, actualizar o mover entradas y crear bóvedas no están marcados como destructivos. Cuando el agente no debe cambiar nada, use `--read-only`.
{% endhint %}

## Mantener los valores secretos fuera del modelo

La herramienta `RDM_resolve_secret_reference` devuelve el valor de un secreto a su cliente de IA. Leer un secreto no cambia su bóveda, así que esta herramienta está marcada como de solo lectura, y `--read-only` la conserva.

Para asegurarse de que ningún valor secreto llega al modelo, deniégelo por nombre:

```bash
devo mcp --read-only --deny-tool RDM_resolve_secret_reference
```

Cuando el agente necesita una credencial para ejecutar una herramienta, haga que use `devo secret run` en su lugar. El valor va solo a esa herramienta. Consulte [Dar una credencial a un agente sin exponerla](/cli/es/guias/ai-agents/run-an-agent.md).

## Combinar opciones

Puede usar varias opciones juntas. Una herramienta se expone solo si cumple cada regla:

1. Una herramienta nombrada en `--deny-tool` permanece siempre oculta, aunque también la nombre en `--allow-tool`.
2. Cuando usa `--allow-tool`, cada herramienta que no nombró queda oculta.
3. `--read-only`, `--deny-destructive` y `--deny-open-world` se aplican después a lo que queda. `--allow-tool` no los anula: una herramienta destructiva que permita sigue oculta por `--deny-destructive`.

Los nombres de las herramientas no distinguen mayúsculas. Por ejemplo, para dejar que un agente busque entradas y las lea, y nada más:

```bash
devo mcp --allow-tool RDM_search_entries --allow-tool RDM_get_entry
```

En la configuración de su cliente, cada opción y cada valor es un elemento distinto en `args`:

```json
{
  "mcpServers": {
    "devolutions": {
      "command": "devo",
      "args": ["mcp", "--read-only", "--deny-tool", "RDM_resolve_secret_reference"]
    }
  }
}
```

## Previsualizar su configuración

`devo mcp catalog` enumera las herramientas sin iniciar el servidor y acepta las mismas opciones de restricción:

```bash
devo mcp catalog --read-only --deny-tool RDM_resolve_secret_reference --json
```

En el resultado, cada herramienta muestra `visible` (expuesta con estas opciones), `readOnly`, `destructive`, `openWorld` y `sensitive`. La salida de texto muestra solo las primeras 25 herramientas expuestas, así que use `--json` para verlas todas.

{% hint style="info" %}
La vista previa marca siempre `RDM_resolve_secret_reference` como oculta (`"sensitive": true`), porque deja fuera las herramientas que devuelven valores de secreto. `devo mcp` iniciado por su cliente de IA sí lo expone, salvo que lo deniegue con `--deny-tool` o lo excluya de `--allow-tool`. No se fíe de la vista previa para saber si los valores de secreto pueden llegar al modelo: compruebe sus opciones `--deny-tool` y `--allow-tool`.
{% endhint %}

## Bueno saberlo

* Las restricciones se aplican cuando el servidor se inicia. Para cambiarlas, edite la configuración de su cliente y reinicie el servidor desde su cliente.
* Las restricciones limitan las herramientas MCP, no su acceso. El servidor sigue actuando con sus permisos en el espacio de trabajo. Para un agente que debe ver menos, inicie su sesión con una cuenta o una clave de aplicación que tenga menos permisos, en su propio contexto. Consulte [Cambiar entre espacios de trabajo](/cli/es/guias/connect/switch-workspaces.md).
* El agente siempre puede ejecutar comandos `devo` en un shell si su cliente se lo permite. Las restricciones de MCP no se aplican a esos comandos. Consulte [Dar una credencial a un agente sin exponerla](/cli/es/guias/ai-agents/run-an-agent.md).

## Siguiente

* [Connect an AI client with MCP](/cli/es/guias/ai-agents/connect-mcp.md)
* [What stays hidden, and what doesn't](/cli/es/guias/understand/security-model.md)
* [Commands](/cli/es/referencia/commands.md)


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.devolutions.net/cli/es/guias/ai-agents/limit-tools.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.