Deja que el agente de IA proponga una herramienta de código y apruébala como administrador

TL;DR: Un agente que responde a «ingresos mensuales por canal» escribiendo el mismo programa cada semana no debería tener que reescribirlo cada vez, pero tampoco debería poder crear herramientas por su cuenta. En el modo código de AnythingMCP hace algo intermedio: llama a code_propose_tool con un nombre, una descripción, el programa y el motivo por el que merece la pena conservarlo. Eso registra una propuesta y nada más: no se ejecuta ningún código ni aparece ninguna herramienta. Un administrador la encuentra en AI Skills → Suggested, lee el programa y hace clic en Create tool. La nueva herramienta es de solo lectura y se ejecuta con los permisos de cada usuario que la invoca; cualquier permiso adicional requiere una edición aparte y deliberada. Disponible en AnythingMCP autoalojado desde la v0.52.0 y próximamente en AnythingMCP Cloud.

Por qué propuestas y no herramientas creadas por el propio agente

Los agentes son buenos detectando que una tarea es mecánica: las mismas tres llamadas, el mismo cruce de datos, la misma suma. Convertir eso en una herramienta guardada hace que la siguiente respuesta sea más rápida, más barata y más coherente. Pero una herramienta también es una capacidad permanente en tu espacio de trabajo, y el programa que hay detrás lo escribió un modelo que quizá haya leído contenido no fiable. Por eso el agente puede sugerir y una persona decide. Es el mismo principio que usa AnythingMCP para las skills y la memoria de empresa que proponen los clientes de IA: el agente redacta y un administrador aprueba.

Qué necesitas

• AnythingMCP autoalojado v0.52.1 o posterior con el code runner configurado (configuración en el paso 1 de esta guía).
• Modo código establecido en inline en el servidor MCP. inline es lo que ofrece code_execute y code_propose_tool; tools solo sirve herramientas de código guardadas. Configúralo en los ajustes del servidor (Code mode → Saved code tools + inline code), disponible desde la v0.52.1; consulta el paso 2 del tutorial de herramientas de código.
• La capacidad de código inline en el rol del usuario. Los administradores del espacio de trabajo la tienen.
• Como se anunció con la v0.52, el código inline y las propuestas forman parte de Team y Enterprise.

Paso 1 — El agente resuelve la tarea en línea

Un usuario hace una pregunta que requiere varias llamadas, por ejemplo «ingresos de octubre, facturas de la tienda y B2B». Con el código inline activado, el agente escribe un programa y lo ejecuta con code_execute: en solo lectura, con los permisos del propio usuario, sobre los conectores a los que el usuario tiene acceso en ese servidor. Consulta la receta de ingresos para ver cómo es un programa así.

Paso 2 — El agente propone conservarlo

Cuando el agente detecta que el patrón merece conservarse (por iniciativa propia, o porque el usuario dice «guarda esto como herramienta»), llama a code_propose_tool con:

La respuesta al agente es sencilla: la propuesta queda registrada para su revisión y no se ejecutará ni se convertirá en herramienta hasta que un administrador la apruebe. Se le puede decir lo mismo al usuario.

Paso 3 — El administrador la revisa

Abre AI Skills en la barra lateral (en Intelligence) y cambia a Suggested. Una propuesta aparece como una tarjeta marcada como Code tool proposal, con:

• el ámbito y una nota que indica que la propuso un agente y que es de solo lectura y se ejecuta con los permisos de quien la invoca;
• Why: el motivo del agente;
• Does: la descripción;
• Program con su longitud en caracteres, para leerlo completo;
• una nota sobre en qué conector se creará la herramienta y que las escrituras o los derechos de autor solo se pueden añadir más tarde en la página de herramientas del conector.

anythingmcp.internal/knowledge-graph

Lee el programa como revisarías una pequeña pull request:

1. ¿A qué herramientas llama? Cada amcp.run('…'). ¿Son las que promete la descripción y todas de lectura?
2. ¿Qué devuelve? ¿Solo lo que necesita la pregunta, o registros completos con datos personales?
3. ¿Itera con sentido? Paginación que termina, lotes de llamadas en paralelo, ninguna llamada por fila de una tabla grande sin necesidad. Una ejecución se detiene a los 10 segundos y a las 500 llamadas a herramientas.
4. ¿Son claros el nombre y la descripción como para que la IA la llame en el momento adecuado y explique bien su resultado (bruto o neto, qué periodo, qué sistemas)?

Paso 4 — Crea la herramienta o descártala

Create tool ejecuta las comprobaciones normales de creación de herramientas: los conectores deben pertenecer al mismo espacio de trabajo y se aplica el número de herramientas de código guardadas que permita el plan. La herramienta se crea en el conector indicado en la tarjeta:

• de solo lectura (solo puede llamar a herramientas que no modifican datos);
• ejecutada como invocador (cada llamada interna se comprueba contra el rol del propio usuario que la invoca);
• usando los conectores del proponente en ese servidor. Abre después la herramienta y restringe Uses a los conectores y herramientas a los que realmente llama.

Dismiss mueve la propuesta a la pestaña Dismissed. Si el agente insiste en proponer algo que no quieres, indícalo en las instrucciones del servidor.

Paso 5 — Solo si hace falta: más permisos, de forma deliberada

Una herramienta creada se puede editar como cualquier herramienta de código en la página MCP Tools del conector. Hay dos ajustes que no son accesibles en absoluto a través de una propuesta:

• Allow write tools, para que el programa pueda llamar a herramientas que modifican datos. Requiere Enterprise.
• Run as definer, para que el programa se ejecute con la curación del autor en lugar de con los permisos de quien la invoca. Solo para administradores.

Ambos se vuelven a comprobar al guardar. Ese es el sentido del diseño: un agente nunca puede aumentar su propia autoridad, porque una propuesta es siempre de solo lectura, siempre como invocador y está limitada a los conectores a los que el usuario proponente ya podía acceder.

Por qué es seguro

• Una propuesta es inerte. code_propose_tool no ejecuta código ni crea nada.
• Sin escalada de privilegios. La herramienta propuesta solo puede referenciar los conectores del propio proponente y empieza en solo lectura, como invocador.
• Decide una persona. Solo un administrador puede convertir una propuesta en herramienta, con las mismas comprobaciones que una herramienta escrita a mano.
• Las ejecuciones permanecen contenidas y auditadas. Una vez creada, cada ejecución pasa por el code runner aislado y se registra junto con cada llamada interna a herramientas. Consulta Ejecución segura de código para agentes de IA.

FAQ

¿Puede un usuario normal proponer herramientas? Cualquier usuario cuyo rol tenga la capacidad de código inline, en un servidor con modo código inline. Sin esa capacidad, el usuario no ve ni code_execute ni code_propose_tool.

¿Ve el agente si su propuesta fue aceptada? El agente ve la nueva herramienta en la lista de herramientas del servidor una vez creada, como cualquier otra, y puede llamarla a partir de ese momento.

¿Puedo editar el programa antes de crear la herramienta? Créala y edítala después en la página MCP Tools del conector, como cualquier herramienta de código: programa, descripción, parámetros, Uses.

Relacionado

• ¿Qué es el modo código de MCP?
• Crea tu primera herramienta de código, paso a paso
• Recetas del modo código: ingresos mensuales, conciliación de facturas, 100 consultas de precios
• Ejecución segura de código para agentes de IA
• Gobernanza de MCP, roles de usuario y permisos
• Grafo de conocimiento para MCP