Suốt năm qua MCP dần trở thành con đường để agent chạm tới phần còn lại trong hệ thống của bạn. Ngày 6/8, GitHub bổ sung đúng thứ còn thiếu: chủ sở hữu enterprise giờ khai báo được những MCP server nào Copilot được phép chạy, và chặn tất cả phần còn lại.
Đây là bản chính thức, không phải bản xem trước, và cách nó thực thi mới là phần cần đọc kỹ.
Cách nó hoạt động
Hai khóa được đưa vào `copilot/managed-settings.json` trên nhánh mặc định của repository `.github-private` thuộc tổ chức nguồn:
- `allowedMcpServers` — những server bạn đã duyệt
- `deniedMcpServers` — những server bạn muốn chặn thẳng
Ba cách gọi tên một server
Một server có thể được đối chiếu qua URL từ xa, kể cả dùng ký tự đại diện; qua lệnh cục bộ dùng để khởi chạy nó; hoặc qua một nhãn do bạn tự đặt. Ba cách này phục vụ những tình huống khác hẳn nhau và nhiều khả năng bạn sẽ dùng cả ba.
URL kèm ký tự đại diện là công cụ thô: duyệt cả tên miền của một nhà cung cấp, hoặc chặn thẳng một tên miền bạn không tin. Đối chiếu theo lệnh cục bộ mới là thứ quan trọng nhất trên thực tế, vì một MCP server chạy cục bộ là một tiến trình trên máy lập trình viên, mang theo mọi quyền mà máy đó có. Nhãn là phương án dễ bảo trì: đặt tên một lần rồi viết chính sách theo tên, đổi URL vẫn không sao.
Mặc định là chặn, và đó là chủ ý
GitHub mô tả thiết kế này là fail closed: cấu hình mơ hồ hoặc không xác minh được thì bị chặn chứ không được cho qua, và khi nhiều lớp chính sách chồng lên nhau, server phải vượt qua tất cả các lớp.
Đây là mặc định đúng, và nó vẫn sẽ làm nhiều người bất ngờ. Một chính sách gõ sai không im lặng vô hiệu — nó khiến server không chạy được. Hãy chuẩn bị tinh thần rằng tuần đầu triển khai sẽ có vài báo cáo kiểu "MCP server của tôi ngừng hoạt động", và phần lớn trong số đó là do cấu hình của chính bạn.
Hãy lường trước: đưa file này vào một tổ chức trước, xem cái gì hỏng, rồi mới mở rộng.
Biết rõ chỗ nào chưa được áp
Hiện hiệu lực áp trên ứng dụng Copilot, Copilot CLI và VS Code. Đó là phần lớn lượng sử dụng nhưng không phải toàn bộ, và đúng phần thiếu ấy mới là thứ hồ sơ rủi ro của bạn quan tâm.
Nếu lập trình viên của bạn còn chạy agent trong JetBrains, trong một editor khác, hay trong một công cụ không phải Copilot — Cursor, Claude Code, một agent mã nguồn mở — thì danh sách trắng trong managed settings của GitHub không với tới họ. Đây là quyền kiểm soát với client Copilot, không phải quyền kiểm soát với MCP nói chung.
Cách diễn đạt trung thực khi đưa vào rà soát bảo mật là: nó bịt một lỗ hổng thật trên những bề mặt phần lớn đội bạn đang dùng, và nó không cho phép bạn tuyên bố rằng MCP đã nằm trong tầm kiểm soát ở mọi nơi.
Tuần này nên làm gì
Bắt đầu từ việc kiểm kê, không phải từ file JSON. Không thể viết một danh sách trắng hợp lý khi chưa biết thực tế đang chạy những gì, và ở phần lớn tổ chức, câu trả lời luôn có ít nhất một server không ai nhớ đã duyệt lúc nào.
Sau đó, nếu được, hãy viết file ở trạng thái chưa chặn gì, tìm hiểu lập trình viên đang phụ thuộc vào cái gì, rồi siết dần. Một danh sách trắng chặn đứng công việc hằng ngày ngay ngày đầu sẽ bị tắt vào ngày thứ hai.