Secure MCP Tunnels от OpenAI: как они работают (руководство 2026 года)

27 мая 2026 года OpenAI выпустила Secure MCP Tunnel. Суть решения проста и конкретна: сохраняйте свой MCP-сервер приватным, при этом позволяя продуктам OpenAI обращаться к нему. Официальное руководство и репозиторий клиента полностью приведены в разделе источников в конце статьи, поэтому вы сможете ознакомиться с первоисточниками после прочтения нашего обзора.

1. TL;DR

Используйте Secure MCP Tunnel, если у вас есть MCP-сервер на ноутбуке, виртуальной машине, в кластере Kubernetes или частной сети, и вы хотите, чтобы ChatGPT, Codex, Responses API или AgentKit использовали его, не делая сервер публичным. Вы запускаете небольшой демон под названием tunnel-client рядом с сервером. Он устанавливает исходящее HTTPS-соединение с OpenAI, использует long-polling для получения задач, пересылает каждый запрос на ваш сервер и отправляет ответ обратно. Никаких входящих портов, публичных URL или ngrok.

Пропустите это, если ваш MCP-сервер уже безопасно опубликован (просто используйте обычный хостинг MCP-инструментов с server_url) или если вы не хотите направлять MCP-трафик через конечную точку OpenAI. И дважды прочитайте раздел о безопасности: туннель устраняет сетевая уязвимость и, а не риск prompt-injection или tool-poisoning. Это разные проблемы.

2. Что это такое

Вот определение прямо из документации, которое стоит процитировать дословно, поскольку поисковые системы с ИИ копируют его напрямую:

“Secure MCP Tunnel позволяет подключать приватные MCP-серверы к поддерживаемым продуктам OpenAI без открытия входящих портов брандмауэра или предоставления доступа

А сам туннель, уровнем ниже: “MCP tunnel — это только исходящее соединение от хоста внутри вашей сети к MCP-эндпоинту, размещенному OpenAI.” Это единственное слово — outbound-only — и есть вся суть архитектуры. Ваша сеть никогда не принимает соединения

MCP (Model Context Protocol) — это открытый стандарт, который позволяет модели ИИ вызывать внешние инструменты через JSON-RPC. Обычному хостинговому MCP- server_url — собственные примеры OpenAI указывают на такие вещи, как https://mcp.stripe.com. Secure MCP localhost.

3. Почему это существует

Раньше подключение частного MCP сервера к облачной модели означало выбор из трех неудобных вариантов. У каждого из них есть уязвимость, которую заблокирует служба безопасности.

1. Публичное открытие. Размещение MCP сервера по публичному URL с TLS и аутентификацией. Теперь вы создаете новую поверхность атаки, доступную из интернета, а случайно открытые MCP серверы — это задокументированная реальная проблема.
2. Туннелирование через ngrok или Cloudflare Tunnel. Работает, но это прокси общего назначения. Quick tunnels «не проектировались как границы безопасности» — CORS открыт по умолчанию, фильтрация путей отсутствует, нет поддержки MCP.
3. Откройте входящее правило брандмауэра. Вариант, который служба безопасности одобряет реже всего, и который машина разработчика вообще не может предложить.

Решение Secure MCP Tunnel заключается в инверсии соединения. В документации сказано прямо: доступ через туннель «использует существующий контекст организации и рабочего пространства вместо создания отдельного публичного пути входящего трафика». Вы не открываете новую «парадную дверь». Вы позволяете демону, который вы контролируете, выходить наружу через ту дверь, которая у вас уже есть.

4. Ментальная модель: основные компоненты

Вся функциональность строится на пяти компонентах. Выучите эти названия, и документация будет читаться на одном дыхании.

Поток данных представляет собой цикл опроса, а не постоянное соединение, которое OpenAI держит открытым в вашей сети. Читайте сверху вниз:

        OpenAI cloud                         Your network (trust boundary)
 ┌─────────────────────────┐          ┌──────────────────────────────────────┐
 │ ChatGPT / Codex /        │          │                                        │
 │ Responses API / AgentKit │          │   tunnel-client (daemon)               │
 │           │              │          │        │            │                  │
 │           v              │          │        │            v                  │
 │  OpenAI-hosted tunnel    │  <====== │  (1) outbound HTTPS long-poll          │
 │  endpoint  (queues work) │          │      GET /v1/tunnel/{id}/poll          │
 │           │              │  ======> │  (2) queued JSON-RPC request           │
 │           ^              │          │        │                               │
 │           │              │          │        v                               │
 │  (4) response returns    │  <====== │  (3) forward to private MCP server     │
 │      to the product      │          │      (stdio command or HTTP URL)       │
 └─────────────────────────┘          │        │                               │
                                       │        v                               │
                                       │   Private MCP server (localhost / VPC) │
                                       └──────────────────────────────────────┘
   The MCP server never has a public listener. Every arrow your network draws
   is OUTBOUND. OpenAI never initiates a connection into your boundary.

Суть подхода: дизайн с опросом — это ключевой момент. Демон, который только инициирует исходящие соединения, — это то, что брандмауэр и специалист по безопасности могут реально контролировать. Постоянный входящий сокет — нет.

5. Минимальный пример сквозного взаимодействия

Это каноничное руководство по быстрому старту из документации, дословно. Предполагается, что вы уже создали туннель в настройках туннеля на платформе и получили его tunnel_id. Он направляет туннель на локальный stdio MCP server — Python-скрипт, запускаемый командой.

export CONTROL_PLANE_API_KEY="sk-..."

tunnel-client init \
  --sample sample_mcp_stdio_local \
  --profile local-stdio \
  --tunnel-id tunnel_0123456789abcdef0123456789abcdef \
  --mcp-command "python /path/to/server.py"

tunnel-client doctor --profile local-stdio --explain
tunnel-client run --profile local-stdio

Вся работа выполняется тремя командами. init создает именованный профиль на основе шаблона. doctor --explain проверяет профиль и сообщает, если что-то не в порядке, прежде чем вы начнете его использовать. run запускает цикл опроса демона. Держите его run активным, пока вы создаете и тестируете коннектор — в документации четко сказано, что “обнаружение коннекторов и вызовы инструментов MCP зависят от запущенного клиента.”

Если ваш MCP server использует HTTP вместо stdio, просто замените один флаг — используйте --mcp-server-url вместо --mcp-command:

tunnel-client init \
  --sample sample_mcp_stdio_local \
  --profile local-http \
  --tunnel-id tunnel_0123456789abcdef0123456789abcdef \
  --mcp-server-url https://mcp.internal.example.com/mcp

Затем убедитесь, что демон действительно исправен, прежде чем переходить к ChatGPT. tunnel-client предоставляет операторские эндпоинты и локальный интерфейс администратора именно для этого:

curl -fsS http://127.0.0.1:8080/healthz   # process is up
curl -fsS http://127.0.0.1:8080/readyz    # connected and polling
open    http://127.0.0.1:8080/ui          # local admin UI (loopback-only)

6. Подробный разбор каждого компонента

6.1 Жизненный цикл запроса

В документации цикл описан в пяти шагах. Продукт отправляет MCP-запрос на эндпоинт, размещенный в OpenAI. Эндпоинт ставит его в очередь. tunnel-client выполняет long-poll для получения задач из очереди, пересылает каждый JSON-RPC запрос на ваш приватный MCP server и отправляет ответ обратно через тот же туннель. Когда коннектор запрашивает потоковые результаты, путь может пересылать промежуточные server-sent events, поэтому потоковые инструменты продолжают работать. Точка инициации сети всегда остается внутри вашего контура.

Главный вывод: принцип “long-poll, затем пересылка только того, что вы можете обработать” обеспечивает естественное противодавление (backpressure). Ваш сервер никогда не будет перегружен лавинообразным запросом от OpenAI — клиент забирает задачи в своем собственном темпе.

6.2 tunnel-client и профили

tunnel-client — это Go-бинарный файл с открытым исходным кодом, распространяемый под openai/tunnel-client. The docs are firm about distribution: get it from the Platform download link or the latest public release, and “keep your runbook pointed at the latest-release URL instead of hard-coding a specific release URL.” It is not on npm or PyPI. A профиль — это именованная конфигурация (см. local-stdio выше), позволяющая одному хосту запускать несколько туннелей с разными настройками. Вы также можете управлять всем через переменные окружения и флаги, учитывая приоритетность flags > env vars > YAML > defaults.

Рекомендация: используйте профили, а не огромный список флагов. Закоммиченная в репозиторий директория profiles/ с секретами, на которые ссылаются через env:VARNAME или file:/path — это то, что отличает воспроизводимый деплой от разовой настройки, которую невозможно повторить.

6.3 Где запускать

Запускайте tunnel-client в том же контуре доверия, который уже имеет доступ к MCP серверу. В документации описаны три паттерна:

• Kubernetes sidecar — запустите его рядом с MCP сервером в одном Pod и подключитесь через localhost.
• Отдельный Kubernetes deployment — запустите его отдельно, если сервер уже доступен через приватный Service.
• VM или systemd service — запустите его на хосте, который имеет доступ к серверу через приватную сеть.

Рекомендация: sidecar — самый оптимальный вариант по умолчанию. Тот же Pod, localhost hop, один жизненный цикл. Используйте выделенное развертывание только в том случае, если несколько рабочих нагрузок совместно используют один сервис MCP.

6.4 Права доступа и идентификация

Доступ к туннелю использует контекст вашей организации и рабочего пространства. Он регулируется тремя атомарными правами, которые соответствуют реальным ролям:

API-ключ среды выполнения, с которым tunnel-client запускается, требует Read + Use. Отдельной учетной записи менеджера требуется Read + Manage для создания или редактирования метаданных туннеля. Разделяйте их — демон никогда не должен обладать правами на создание/удаление.

Главный вывод: принцип наименьших привилегий встроен в систему, поэтому используйте его. Демон с длительным временем жизни получает Use, человек или CI-задача получают Manage, и они никогда не используют один и тот же ключ.

6.5 Harpoon: разрешенные HTTP-вызовы

Помимо MCP, tunnel-client поставляется со встроенным MCP server под названием Harpoon который предоставляет ограниченный набор приватных REST endpoints по меткам, с ограничением размера запросов и ответов. Он предназначен для доступа к нескольким внутренним сервисам без необходимости делать их публичными. В документации четко указано: “Harpoon — это не прокси общего назначения: вызывающие стороны не могут выбирать произвольные хосты, а запросы ограничены целями и методами, настроенными клиентом.”

Субъективный вывод: Harpoon — это скальпель, а не VPN. Если вы хотите использовать его для доступа “ко всему внутреннему”, значит, вы переросли его и вам следует развернуть полноценный MCP server.

6.6 OAuth через tunnel

Если ваш MCP server использует OAuth, есть один нюанс, который может стоить вам целого дня, если вы его упустите. OAuth discovery может проходить через tunnel-client tunnel, и tunnel сохраняет метаданные upstream authorization-server для потоков, ориентированных на браузер. Но, как сказано в самой документации: “Сам authorization server автоматически не туннелируется. Если он недоступен из публичного интернета и с

host,

то OAuth flow может завершиться ошибкой, даже если MCP server доступен.”

Субъективный вывод: используйте tunnel для MCP server, но убедитесь, что OAuth authorization server доступен оттуда, где запущены браузер и клиент. Доступный MCP server с недоступным auth server — это скрытая и сбивающая с толку ошибка.

7. В чем мы ошиблись Четыре предположения подвели нас при первом запуске. Это именно те вещи, в которые заставляет поверить маркетинговый слоган. Мы полагали, что “private” означает, что данные никогда не попадают в OpenAI. Это не так. Адрес вашего сервера и

credentials остаются локальными, но полезная нагрузка (payloads) запросов и ответов MCP все равно проходит через hosted endpoint компании OpenAI, точно так же, как и любой другой вызов hosted tool. Tunnel скрывает местоположение вашего сервера, но не исключает трафик инструментов из платформы OpenAI. Если данные слишком конфиденциальны для отправки в hosted model, tunnel этого не изменит.

Мы начали искать npm install. Его не существует. tunnel-client — это скачанный бинарный файл или сборка Go из openai/tunnel-client. Мы потратили десять минут, полагая, что пакет существует, так как он есть у всех остальных SDK OpenAI.

Мы предположили, что туннель делает всю настройку «безопасной». Он защищает сетевой путь. Он никак не помогает против вредоносного или манипулируемого вызова инструментов. Агент, подвергшийся промпт-инъекции, все равно может отправить вполне валидный запрос, который ваш сервер с радостью выполнит. Туннель — это сетевой контроль, а не контроль авторизации или контента.

8. Неправильные и правильные паттерны

9. Распространенные ошибки (на основе документации)

Эти данные взяты непосредственно из официальных заметок по устранению неполадок и настройке, с указанием первопричины рядом с симптомом.

• Туннель не отображается в ChatGPT. Основная причина: туннель не связан с целевой рабочей областью (workspace), либо у оператора коннектора отсутствуют права Tunnels Use. Исправьте область действия рабочей области и права доступа.
• Ошибка обнаружения коннектора или вызова инструментов. Основная причина: tunnel-client run остановлено. Обнаружение и вызовы зависят от запущенного клиента. Перезапустите его и выполните повторно doctor --explain.
• Вы можете просматривать туннель, но не можете его редактировать. Основная причина: у оператора есть права Tunnels Read, но нет прав Manage. Предоставьте права Manage учетной записи, которая редактирует метаданные.
• Ошибка OAuth, несмотря на то, что MCP сервер доступен. Основная причина: сервер авторизации не проброшен через туннель и недоступен из публичного интернета или с хоста клиента. Обеспечьте доступность сервера авторизации.
• Запросы через туннель периодически завершаются с ошибкой. Основная причина: клиент не подключен. Если tunnel-client выполняет переподключение, запросы будут завершаться с ошибкой до восстановления соединения. Следите за /readyz и /metrics.

10. Заметки о производительности, масштабировании и стоимости

Сначала честные цифры: OpenAI не публикует показатели задержки или пропускной способности для конкретных туннелей, а документация по цене туннелей отсутствует. То, что действительно предоставляют — это параметры для настройки поведения.

• Тайминги long-poll. Клиент использует long-poll для получения задач; окно опроса и лимит активных запросов настраиваемы. Регулируйте их, чтобы найти баланс между количеством простаивающих соединений и задержкой обработки задач.
• TTL соединения. Окно соединения MCP ограничено (по умолчанию в репозитории оно составляет несколько минут). Инструмент, который выполняется дольше этого времени, должен передавать прогресс потоком или успеть завершиться, иначе он будет принудительно остановлен.
• Обратное давление (backpressure) бесплатно. Поскольку клиент сам запрашивает работу, а не получает её «пушем», медленный MCP сервер просто замедляет приём задач, вместо того чтобы упасть под нагрузкой. Масштабирование происходит за счёт запуска большего количества клиентов или более мощного сервера, а не за счёт обработки потока запросов.
• Стоимость. Что касается хостируемого инструмента MCP в целом, OpenAI заявляет, что вы платите только за токены, использованные при импорте определений инструментов или вызове инструментов, без дополнительной комиссии за каждый вызов. Плата за использование туннеля в документации не указана — проверьте настройки Platform, прежде чем полагать, что это бесплатно при масштабировании.

11. Для кого это (а для кого нет)

12. Сигналы сообщества

Анонс был сделан с аккаунта разработчика OpenAI и был усилен Грегом Брокманом, который представил его как «используйте свои собственные MCP серверы».

Эта архитектура не является уникальной для OpenAI. Anthropic выпустила функционально похожий паттерн MCP-tunnel на несколько недель раньше, и самое острое обсуждение в сообществе ведется в ветке r/mcp, где сравниваются эти два решения: «Новая архитектура mcp-туннеля от Anthropic: агент никогда не хранит учетные данные». Консенсус там положительно оценивает модель безопасности — перенос учетных данных на периметр означает, что у агента, подвергшегося prompt-injection, нет токена, который можно украсть, — но выражает скепсис по поводу привязки к поставщику.

Стоит процитировать и альтернативное мнение. Главная критика в этой ветке четко определяет суть компромисса:

«Вы не контролируете цикл. Вы контролируете только границы. Сработает ли этот компромисс для вас, зависит от того, насколько вы доверяете [поставщику] в вопросах управления циклом и насколько вы готовы мириться с привязкой к вендору».
— r/mcp, о паттерне архитектуры туннелирования

Другие участники обсуждения задали очевидный вопрос: «что мешает локальному сертификату утечь или быть украденным?», отметив, что перенос рисков с токенов на время безотказной работы вендора — это лишь смещение проблемы, а не её решение. Это справедливые замечания. Туннель — это компромисс: меньше сетевых рисков, но больше зависимости от управляющей инфраструктуры OpenAI.

13. Вердикт: стоит ли это использовать?

14. Общая картина

Secure MCP Tunnel — это лишь один шаг в рамках более масштабного сдвига: крупные вендоры моделей соревнуются в том, чтобы сделать ваши приватные инструменты доступные для использования их хостинговыми агентами без необходимости что-либо раскрывать. Anthropic сделали это. OpenAI сделали это. Общий паттерн — только исходящие соединения, учетные данные на периметре, цикл под управлением вендора — становится стандартной корпоративной моделью для подключения агентов. Ожидайте, что Google и другие компании представят аналогичный примитив под другими названиями.

Для практических шагов ознакомьтесь с нашим Руководством по настройке MCP Servers которое охватывает подключение серверов к IDE, а руководство Build Your Own MCP Server показывает, как написать сервер, который вы разместите за туннелем, в то время как руководство по OpenAI Agents Python SDK объясняет более широкую среду выполнения агентов, использующую эти инструменты.

15. Часто задаваемые вопросы

16. Глоссарий

• MCP: Model Context Protocol, открытый стандарт, позволяющий моделям вызывать внешние инструменты через JSON-RPC.
• MCP server: процесс, который предоставляет инструменты, ресурсы и промпты для MCP client.
• Secure MCP Tunnel: функция OpenAI для подключения приватного MCP server к своим продуктам без публичного слушателя.
• tunnel-client: запускаемый клиентом демон, который опрашивает OpenAI и перенаправляет запросы на ваш MCP server.
• Конечная точка туннеля, размещенная на OpenAI: публичный edge-сервис, к которому обращаются продукты OpenAI; он ставит задачи в очередь для вашего туннеля.
• tunnel_id: идентификатор туннеля, формат tunnel_ плюс 32 шестнадцатеричных символа.
• runtime API key: учетные данные, которые tunnel-client использует; требуются права Tunnels Read + Use.
• outbound-only: трафик всегда инициируется изнутри вашей сети; OpenAI никогда не подключается извне.
• long-poll: клиент удерживает HTTP-запрос открытым в ожидании задач из очереди, вместо получения push-уведомлений.
• stdio transport: MCP сервер, запускаемый командой и взаимодействующий через стандартный ввод/вывод.
• Harpoon: встроенный MCP сервер в tunnel-client для строго ограниченного списка разрешенных частных HTTP-вызовов.
• mTLS: взаимный TLS, при котором и клиент, и сервер предоставляют сертификаты; опционально для control plane и стороны MCP.
• connector: объект на стороне ChatGPT, который указывает на источник инструмента, включая туннель.
• MCP-инструмент, размещенный в Responses API: mcp tool type that lets the API call an MCP server, normally via a public server_url.

17. Все источники и ссылки

Первоисточники

• OpenAI: Руководство по Secure MCP Tunnel
• openai/tunnel-client на GitHub
• OpenAI: MCP и коннекторы (размещенный MCP tool)
• Спецификация авторизации MCP (OAuth 2.1)

Сообщество

• @OpenAIDevs: Твит о запуске Secure MCP Tunnel
• r/mcp: архитектура туннелей и критика привязки к вендору
• r/OpenAI: Реакция на поддержку MCP в ChatGPT

Веб и контекст безопасности

• Invariant Labs: Атаки типа tool poisoning в MCP
• Cloudflare: удаленные MCP servers (предыдущие наработки по туннелированию)
• Solo.io: уязвимости в MCP-серверах

Внутренние ссылки

• Руководство по настройке MCP-серверов
• Создание собственного MCP-сервера
• Каталог популярных MCP-серверов
• Руководство по Python SDK для агентов OpenAI