Token MCP per spazio di lavoro: limita un agente IA a una bacheca

Crea un token MCP aggiuntivo da Account → Token MCP aggiuntivi e scegli uno spazio di lavoro dal menu a discesa: quel token potrà leggere e scrivere soltanto le attività di quella bacheca. Chiama un insieme più ristretto di strumenti, e tutto ciò che sta fuori dal suo spazio di lavoro torna come “non trovato”, non come un errore di permessi. È il terzo modo di restringere un token di Done, accanto alla sola lettura e al singolo progetto, ed esiste proprio per il momento in cui un account appartiene a più di uno spazio di lavoro: senza, un token raggiunge tutte le bacheche che l'account può vedere, agente compreso.

Perché limitare a un progetto non basta più quando condividi uno spazio di lavoro?

Un token limitato a un progetto era già l'opzione più ristretta, ma un progetto vive dentro un solo spazio di lavoro: non può uscire dalla sua bacheca, ma non può nemmeno coprire “tutto ciò che c'è in questo spazio di lavoro condiviso, qualunque progetto vi venga aggiunto in seguito”. Quando un account appartiene a più spazi di lavoro (uno personale più uno condiviso con ogni gruppo di collaboratori), un token senza altre limitazioni li raggiunge tutti insieme, perché la lettura non è un'azione che si possa controllare chiamata per chiamata. È una proprietà dell'ambito, non della singola chiamata a uno strumento, quindi va fatta rispettare a livello di credenziale.

Come viene fatto rispettare un token limitato a uno spazio di lavoro

Con la stessa logica della limitazione a un progetto: un elenco di strumenti consentiti con divieto predefinito (WORKSPACE_TOOLS in lib/mcp.ts), a cui uno strumento deve essere aggiunto esplicitamente prima che un token limitato a uno spazio di lavoro possa chiamarlo, e mai il contrario. project_id e workspace_id si escludono a vicenda sullo stesso token e vengono rifiutati insieme alla creazione: un token limitato a un progetto è già confinato nell'unico spazio di lavoro di quel progetto, e abbinarli porterebbe solo a una combinazione che potrebbe contraddirsi.

Che cosa può ancora fare un agente con un token limitato a uno spazio di lavoro

• L'intero ciclo di vita delle attività su quella bacheca: list_tasks, list_my_tasks e next_task (con il filtro dello spazio di lavoro forzato su quello del token, così chi chiama non può allargarlo), get_task, update_task, comment_on_task, complete_task, propose_completion, claim_task, decline_task, release_task e il tracciamento delle esecuzioni (start_run, end_run, check_budget).
• create_task, forzato nello spazio di lavoro del token: non può inserire un'attività in un progetto o sotto un'attività principale che si trovano altrove.
• list_projects e list_workspaces, ma filtrati su quella sola bacheca: i nomi degli altri spazi di lavoro dell'account non compaiono mai nella risposta.

Che cosa viene rifiutato, invece di essere limitato a metà

Tutto ciò che legge l'intero account senza un proprio filtro per spazio di lavoro (get_digest, search_activity, list_tags, list_goals, changes_since, list_triggers) oggi viene rifiutato senza eccezioni a un token limitato a uno spazio di lavoro, invece di essere offerto come una lettura parziale che in silenzio attraversa tutte le bacheche. Nemmeno uno strumento aggiunto a Done in seguito eredita l'accesso per impostazione predefinita: resta rifiutato a un token limitato a uno spazio di lavoro finché qualcuno non decide come restringerlo, e un test del repository (tests/scoped-tokens.test.ts) verifica che l'elenco degli strumenti consentiti sia completo rispetto alla sua applicazione, così un'aggiunta senza ambito fa fallire la build invece di creare una falla silenziosa. Anche l'elenco degli strumenti dichiarati lo rispetta: a un client limitato a uno spazio di lavoro non viene nemmeno mostrato uno strumento che non può chiamare, invece di mostrarglielo e rifiutarlo al momento della chiamata.

L'ambito copre anche il flusso di eventi in tempo reale?

Sì. /api/events accetta un token MCP bearer come fa /mcp, quindi un ambito che coprisse soltanto le chiamate agli strumenti consegnerebbe comunque a una credenziale limitata a uno spazio di lavoro, attraverso il flusso, le modifiche alle attività, i commenti e le richieste per gli agenti di tutte le altre bacheche: la stessa falla da un'altra porta. La connessione SSE applica lo stesso identico controllo sullo spazio di lavoro.

Come configurarne uno

In Account → Token MCP aggiuntivi, il selettore dello spazio di lavoro compare solo quando l'account appartiene davvero a più di uno spazio di lavoro: altrimenti non c'è nulla da restringere. Scegli uno spazio di lavoro e l'eventuale progetto selezionato viene azzerato (si escludono a vicenda); il token viene mostrato una sola volta alla creazione, come ogni altro token di Done, quindi copialo prima di cambiare pagina.

Mi serve un piano a pagamento?

No: così com'è stato rilasciato, creare un token limitato a uno spazio di lavoro non prevede alcun controllo sul piano lungo tutto il percorso, dal pannello Account all'API fino al livello dei dati, quindi oggi è disponibile con qualsiasi piano. Ed è utile prima di quanto “condividere uno spazio di lavoro con un collaboratore” farebbe pensare: il piano gratuito consente già fino a due spazi di lavoro per account, quindi anche chi lavora da solo e tiene, per esempio, una bacheca personale e una separata può collegare un agente a una sola delle due, senza invitare nessuno e senza cambiare piano.

Come si combina con i token di sola lettura e limitati a un progetto

Tutti e tre i criteri restringono ciò che una credenziale può fare o raggiungere; non sostituiscono il passaggio di approvazione, che controlla separatamente che cosa un agente può concludere senza il via libera di una persona. Usa la limitazione a uno spazio di lavoro quando l'unità che vuoi affidare a un agente è “tutta questa bacheca condivisa”, la limitazione a un progetto quando è più ristretta, e la sola lettura in aggiunta a una delle due quando l'agente deve soltanto osservare. Far lavorare più agenti su un account condiviso diventa più facile da capire quando la portata di ogni token è scritta nella credenziale stessa, e non in una regola che nessuno ricontrolla.