Lecture ou écriture : 271 outils MCP de 4 applis

Environ la moitié des outils que le serveur MCP d’une appli de tâches donne à un agent peuvent modifier vos données. Nous avons classé les 271 outils documentés de quatre serveurs, Done, Jira via le serveur Rovo d’Atlassian, Notion et ClickUp, en lecture et écriture : 129 ne font que lire (48 %) et 142 écrivent (52 %). La part d’outils en lecture seule va de 54 % pour Jira et Notion à 42 % pour Done. Chaque écriture est un appel qu’un agent peut faire avec votre autorité, c’est pourquoi les annotations qui indiquent à une appli d’IA quels outils elle peut lancer sans surveillance comptent plus que le nombre d’outils.

Combien d’outils MCP ne font que lire ?

Les quatre serveurs ont été conçus séparément et tombent pourtant à moins de 12 points d’un partage égal. Ce n’est pas un hasard : une appli de tâches, c’est surtout des choses à consulter et des choses à modifier, et un agent a besoin des deux pour faire quoi que ce soit d’utile. Done est le plus bas parce que ses outils sont écrits pour un agent qui travaille la file, donc les étapes de la boucle (prendre la tâche, rendre compte, proposer la fin, poser une question, la relâcher) sont volontairement des écritures.

Quelles écritures sont irréversibles ?

Beaucoup moins, et chaque serveur place la limite ailleurs. Atlassian met les trois suppressions définitives de Jira (un work item, un commentaire, une pièce jointe) dans leur propre groupe de permissions, désactivé tant qu’un administrateur ne l’active pas, avec six outils d’administration. Les suppressions de Notion envoient jusqu’à 20 pages ou bases de données à la corbeille, d’où un outil de restauration peut les récupérer. ClickUp liste deux outils de suppression, pour les tâches et les commentaires. Chez Done, les suppressions sont douces, vers une corbeille vidée au bout de 30 jours, mais Done marque quand même 13 outils destructiveHint, y compris chaque mise à jour qui écrase un champ, parce que ce qui compte pour la personne qui surveille, c’est ce qu’elle ne peut plus voir.

Que disent vraiment readOnlyHint et destructiveHint à une appli d’IA ?

Ce sont des indications qu’un serveur ajoute à chaque outil pour que l’appli qui fait tourner l’agent décide quoi vous faire confirmer. Les valeurs par défaut de la spécification MCP sont prudentes : un outil sans annotation est supposé écrire (readOnlyHint false), être destructif (destructiveHint true), non idempotent et ouvert sur l’extérieur (openWorldHint true). La spécification précise aussi que les annotations sont des indications, pas des garanties, et qu’un client ne doit jamais s’y fier si elles viennent d’un serveur non fiable. Un serveur qui n’annote rien est donc traité comme dangereux par les applis prudentes, et un serveur qui annote honnêtement leur permet de sauter la confirmation pour chaque lecture.

• readOnlyHint : true signifie que l’outil ne modifie rien. Par défaut, false.
• destructiveHint : true signifie qu’une écriture peut détruire ou écraser au lieu de seulement ajouter. N’a de sens que pour les écritures. Par défaut, true.
• idempotentHint : true signifie que rappeler l’écriture avec les mêmes arguments ne change plus rien. Par défaut, false.
• openWorldHint : true signifie que l’outil sort des données du serveur, vers le web ou un autre produit. Par défaut, true.

Ce que cela implique si vous connectez un agent à votre appli de tâches

Partez du principe que la moitié de ce que vous avez accordé peut modifier des choses, et vérifiez quelle moitié. Sur Linear, vous pouvez connecter l’endpoint en lecture seule. Sur Jira, un administrateur peut laisser désactivés les groupes de suppression et d’administration. Sur Done, vous pouvez créer un jeton en lecture seule ou limité à un seul projet. Et comme une annotation décrit un seul appel, pas la justesse du résultat final, la protection la plus forte est sur la tâche : dans Done, un agent propose la fin de la tâche et celle-ci attend votre validation, sauf si vous l’avez marquée agent-ok.

Comment nous avons compté

• Done : les annotations de chaque outil telles que le serveur de Done les émet le 28 octobre 2026 ; lecture seule signifie readOnlyHint true. Sur ses 50 écritures, 21 sont marquées idempotentes et 3 outils atteignent d’autres applis (openWorldHint true).
• Jira : les groupes d’Atlassian. La lecture couvre ses 27 outils de lecture et 1 outil de recherche ; l’écriture couvre 15 outils d’écriture, 3 de suppression et 6 d’administration.
• Notion et ClickUp ne publient pas d’indicateur lecture ou écriture, donc nous avons classé chaque outil documenté d’après son nom et sa description : get, list, fetch, search, query, find et download comptent comme lectures ; create, update, move, merge, send, start, stop, delete et assimilés comme écritures.
• Les pourcentages sont arrondis à l’unité.