Esse resultado toca num problema mais profundo: pedir confirmação para tudo transforma controle em ruído.

Ao implementar uma ponte MCP para operações SSH, o limite que achei mais útil foi separar autorização de acesso da autorização da ação:

• autorização por agente e por sessão, revogável;
• credenciais e chaves nunca entregues ao agente;
• comandos executados em um terminal visível;
• trilha de auditoria com dados sensíveis ocultados.

Mesmo assim, ações destrutivas ainda pedem uma camada adicional — confirmação por comando, política de allow/deny e, quando possível, dry-run. Sem isso, uma autorização inicial corre o risco de virar permissão geral. Segurança humana precisa reduzir a quantidade de decisões e aumentar a qualidade do contexto mostrado em cada uma.