EC向けMCP：AIがStoreツールを安全に使う方法

Model Context Protocolは互換clientに、名前付きtoolsの発見、限定resourcesの読取、structured argumentsによるserver callの標準を提供します。それ自体はStoreを安全にせず、paymentを承認せず、checkoutを置き換えません。MCP serverがactorを特定し、inputを検証し、productとStore policyを適用してtyped resultを返します。modelはcapabilityを求めるclientで、commerce stateのownerではありません。

search_catalog、get_product、create_cart_draft、request_checkout、get_order_status、draft_catalog_updateのような狭いactionを公開します。raw query、任意HTTP、provider secret、汎用executeは出しません。各toolにinput/output schema、Store scope、risk、idempotency、timeout、明確なfailureを設定します。resourcesはpolicyやcatalogを説明できますが、untrusted textがtoolを付与したりvalidationを弱めたりはできません。

buyer toolsとcreator-management toolsは別のauthority surfaceです。shopperは検索、比較、一つのStoreのcart準備、許可されたcheckout開始、自分のorder status確認ができます。ownerは正確なgrantでのみcatalog draft、inventory alert、discount、order、reconciliationを扱います。接続Agentは選択されたStore capabilitiesだけを受け、ownership、payment provider access、別Storeのtoolsを継承しません。

product、price、sellable inventory、order、payment、refund、fulfillment、customer、consentはauthoritative commerce servicesに残します。MCP layerはtyped requestを翻訳してcommitted resultを返し、会話から第二の真実を作りません。mutable draftにはrevision check、再試行effectにはidempotency keyを使います。provider timeoutではsuccessを推測せずunknownまたはpendingとしてreconciliationします。

OAuthなどのverified scoped identity、least privilege、短いsession、重要writeのexplicit confirmation、actor付きimmutable auditを使います。実行時にStore id、identity、amount、currency、price revision、state、capabilityを検証します。grantはrevocableにし、readとwriteを分け、stale、missing、cross-Store、ambiguous toolはfail closedにします。confirmationはserver validationの代わりではありません。

Codex、ChatGPT、GitHub Copilotなどはtransport、authentication、discovery、approval、admin controlが異なるため、具体的なclientとplanを確認します。read-only catalogまたはorder statusから始め、次にreversible draft actionを一つ追加し、invalid、duplicate、stale、cross-account、timeout、revoked accessをtestします。Prostir StoreはPreviewで、一つのcommerce root、承認済み既存Agent、https://{slug}.store.prostir.build/mcp を前提にします。安定した既存pathを置き換える前にfitを検証してください。