Cloudflare API MCP เพิ่ม Step-up Authorization เริ่มด้วยสิทธิ์น้อยแล้วขอเพิ่มเมื่อจำเป็น

Cloudflare ประกาศเมื่อ 19 ตุลาคม 2026 ว่า Cloudflare API MCP server รองรับ step-up authorization แล้ว ผู้ใช้สามารถเริ่มเชื่อมต่อด้วยสิทธิ์น้อยที่สุด และอนุมัติ scope เพิ่มเฉพาะตอนที่เอเจนต์ต้องใช้จริง การเปลี่ยนนี้สำคัญกับทีมที่ให้ผู้ช่วย AI จัดการ DNS, Workers หรือการตั้งค่าบัญชี เพราะสิทธิ์กว้างตั้งแต่ต้นเพิ่มผลกระทบหากคำสั่งผิดหรือบริบทถูกชักจูง

กลไกใหม่ต่างจากการให้สิทธิ์ครั้งเดียวอย่างไร

ก่อนหน้านี้การเชื่อม MCP server กับเครื่องมือที่ต้องทำงานหลายประเภทมักพาให้ผู้ใช้เลือกสิทธิ์เผื่อไว้ Cloudflare อธิบายว่าตอนเชื่อม https://mcp.cloudflare.com/mcp สามารถเลือก Minimal บนหน้าความยินยอมได้ เมื่อเอเจนต์เรียก tool ที่ต้องใช้ scope ซึ่งยังไม่ได้รับอนุญาต เซิร์ฟเวอร์จะตอบ challenge ชนิด insufficient_scope พร้อมชื่อ scope ที่ขาด MCP client ที่รองรับจะถามผู้ใช้ให้อนุมัติในจังหวะนั้น สิทธิ์ที่อนุมัติไปแล้วจะยังคงอยู่

นี่ไม่ใช่การให้โมเดลตัดสินใจเพิ่มสิทธิ์เอง ผู้ใช้ยังเป็นผู้อนุมัติ และผลจะขึ้นอยู่กับความสามารถของ MCP client ด้วย Cloudflare ระบุว่าใช้ได้กับ client ที่รองรับ step-up authorization จึงควรทดสอบกับ client ที่ทีมใช้อยู่ก่อนประกาศว่ากระบวนการใหม่ครอบคลุมทุกเครื่องมือ

สิ่งที่ทีมพัฒนาควรทดลอง

สร้างบัญชีทดสอบหรือเลือกทรัพยากรที่ไม่มีผลต่อ production เชื่อมด้วย Minimal แล้วให้เอเจนต์ทำงานอ่านข้อมูลที่ควรทำได้ จากนั้นลองงานที่ต้องใช้สิทธิ์แก้ไข เช่นเปลี่ยนค่าในบริการที่ทดสอบ ตรวจว่ามี challenge และแสดง scope ที่สอดคล้องกับงานจริงก่อนอนุมัติ หากหน้าขอสิทธิ์กว้างเกินกว่าการกระทำที่ตั้งใจ ให้หยุดและทบทวน tool call แทนการกดผ่าน

หลังอนุมัติ ให้ตรวจผลปลายทางใน Cloudflare dashboard หรือ API อีกครั้ง การที่เอเจนต์รายงานว่าสำเร็จไม่เท่ากับทรัพยากรถูกเปลี่ยนตามต้องการ และการที่ไม่เห็น prompt ซ้ำอาจเป็นเพราะ scope เดิมยังมีอยู่แล้ว ทีมที่ใช้บัญชีร่วมกันควรบันทึกว่าใครอนุมัติ scope ใด เพื่อทบทวนสิทธิ์เมื่อจบงานหรือเปลี่ยนผู้ดูแล

ข้อจำกัดที่ไม่ควรเข้าใจผิด

Step-up ช่วยลดสิทธิ์ตั้งต้น แต่ไม่ได้ป้องกันคำสั่งที่ผิดภายใน scope ที่อนุมัติแล้ว ไม่ได้แทนการตรวจคำสั่งก่อนเขียน production และไม่ลบความจำเป็นของ audit log หรือการแยกบัญชีตามงาน หาก MCP client ไม่รองรับ challenge ดังกล่าว งานที่ต้องใช้ scope เพิ่มอาจล้มเหลวแทนที่จะเปิดหน้าถามผู้ใช้ ให้ตรวจเอกสาร client และทดสอบ flow จริง

สำหรับองค์กรที่ทำ automation แบบไม่มีคนเฝ้า ต้องวางแผนสิทธิ์ไว้ล่วงหน้า เพราะงานที่ต้องอนุมัติกลางทางจะหยุดรอ ไม่ควรแก้ด้วยการเปิด scope ทุกชนิดถาวรเพียงเพื่อให้ pipeline ผ่าน การกำหนดงานอ่านและงานเขียนเป็นคนละตัวตนยังเป็นวิธีลดผลกระทบที่ชัดเจน

ประกาศต้นทาง: https://developers.cloudflare.com/changelog/post/2026-10-19-cloudflare-mcp-step-up/