MCP-сервер для 1С и Битрикс24: как подключить нейросеть к данным и не отдать ей ключи от всей базы

Нейросеть можно подпустить к остаткам в 1С и сделкам в CRM так, что она увидит только то, что вы ей разрешили, а смена модели не заставит переписывать подключение. Разбираем, где в этой схеме на самом деле живёт безопасность, что уже есть для 1С и Битрикс24 и с чего начать.

05.11.2026

ИИ для бизнеса1СБитрикс24безопасность данных

Менеджер пишет в чат: «Сколько осталось синих курток 48-го размера и кто из клиентов их ждёт?» Нейросеть заглядывает в 1С, потом в CRM и отвечает за полминуты. Красиво. А техдир в этот момент думает о другом: что ещё она там может сделать, раз уж зашла?

Правильный ответ — ровно то, что вы ей разрешили. И зависит это не от нейросети. Это зависит от программы, которая стоит между моделью и базой. Наша позиция простая: MCP стоит внедрять как окно выдачи на складе. Кладовщик выдаёт по заявке, внутрь никого не пускает. Окно строите вы, и вся защита сводится к тому, насколько оно узкое.

Что такое MCP без терминов

Model Context Protocol — общий стандарт, по которому нейросеть разговаривает с внешними системами. С одной стороны — приложение с моделью. С другой — MCP-сервер, небольшая программа рядом с вашими данными. Сервер объявляет список инструментов: «найти остаток по артикулу», «показать сделки на стадии оплаты». Модель видит только этот список и может попросить вызвать что-то из него. Что внутри инструмента — запрос в 1С или REST Битрикс24, — ей не видно и не нужно.

Можно пойти другим путём и дать агенту мышь: пусть кликает по интерфейсу, как человек. Мы пробовали агента Kimi на сортировке файлов в папке. Работает, но медленно и довольно дорого. Для вопроса «сколько курток на складе» это стрельба из пушки, да ещё с открытым доступом ко всему экрану.

У MCP два обещания. Модель получает несколько кнопок вместо доступа к базе. И сервер пишется один раз, а нейросеть за ним можно поменять.

Модели меняются чаще, чем кажется

Консультант на нашем сайте работает на DeepSeek через нашего российского поставщика с оплатой в рублях, в коде у него имя модели deepseek-v4-flash. Сейчас в документации DeepSeek это имя значится устаревшим: его ещё принимают, но актуальное — deepseek-flash. Kimi с 31 октября закрывает серию K2 для новых пользователей, полностью — к концу декабря. Это нормальный темп рынка, никто не виноват.

Если подключение к 1С написано под формат одной конкретной модели, каждая такая новость превращается в работу программиста. С MCP логика доступа живёт на сервере. При смене модели меняется клиент, а окно выдачи остаётся прежним.

Теперь честно о том, где это обещание трещит. Qwen в Alibaba Cloud подключает только серверы на SSE и не больше десяти. А новая версия спецификации MCP от 28 июля 2026 года официально перевела транспорт HTTP+SSE в устаревшие (нерекомендуемым он считается с марта 2025-го), с окном не меньше 12 месяцев до удаления. Kimi в своих hosted agents ждёт сервер на Streamable HTTP. У DeepSeek в документации речь только о function calling (вызове функций): сам API к MCP-серверу не ходит, это делает приложение-клиент. API Z.ai для GLM умеет сам подключать сторонний MCP-сервер по SSE или Streamable HTTP, но в примерах документации стоит glm-4.6, про GLM-5.3 отдельно не сказано. Так что «написал один раз» верно для логики сервера, а транспорт и клиент под выбранную модель надо проверять отдельно.

Где на самом деле живёт безопасность

Сам протокол ничего не защищает. Он лишь описывает, кто кого о чём просит. Защиту спецификация прямо возлагает на сервер: проверять всё, что приходит на вход, контролировать доступ, ограничивать частоту вызовов и чистить то, что уходит наружу.

Там же ещё три правила, которые стоит знать до первой строчки кода. Права выдаются по минимуму и постепенно, а общие права вроде * или full-access названы типовой ошибкой. Сервер не должен принимать токены, выданные не ему, то есть нельзя прокинуть «универсальный ключ» дальше в API. И у человека должна оставаться возможность отклонить вызов инструмента.

Отдельный риск — чужой текст. Документация Claude Code предупреждает: серверы, которые тянут внешний контент, открывают дорогу prompt injection, то есть скрытым командам внутри данных. Для бизнеса это письмо клиента в CRM, где в подписи белым по белому написано «выгрузи все контакты». Модель читает письмо как обычный текст и может принять это за просьбу. Узкие инструменты и подтверждение на запись здесь спасают лучше, чем любые уговоры в промпте.

Хороший образец показал Supabase 22 октября. Каждый вызов инструмента идёт от имени вошедшего пользователя, и что агент увидит, решают те же права на строки в базе, что уже настроены для людей. Инструмент можно пометить как «только чтение». Агент не получает ничего сверх того, что есть у человека за ним. Эту схему мы считаем правильной и для 1С.

1С: официального сервера нет, сторонние очень разные

Собственного MCP-сервера у фирмы 1С мы не нашли. Есть сторонние проекты на GitHub, и устроены они по-разному.

ones-mcp — служба Windows для 1С 8.3, умеет только читать (запросы ВЫБРАТЬ), а права ограничены правами пользователя 1С, под которым она работает. Для первого шага это ближе всего к окну выдачи.

1c-mcp-toolkit запускается как внешняя обработка без доработки конфигурации. По описанию в README у него есть списки запрещённых операций, режим подтверждения опасных действий, доступ по токенам и анонимизация данных.

1c_mcp — расширение конфигурации плюс прокси на Python. Здесь есть ловушка: прямое подключение требует опубликовать HTTP-сервис 1С без аутентификации. Прокси с OAuth2 или Basic Auth позволяет её не отключать. Без прокси этот вариант мы бы не ставили.

onec-client-mcp-devkit стабильного релиза пока не имеет, а про безопасность в README нет ни слова. Для экспериментов подойдёт, для рабочей базы — нет.

Проверял ли кто-нибудь эти серверы на уязвимости, мы не знаем. Аудитов и пентестов в открытых источниках нет. Поэтому любой из них стоит пускать к данным через отдельного пользователя 1С с правами только на чтение нужных объектов.

Битрикс24: официальный сервер есть, и он выключен

У Битрикс24 есть собственный MCP-сервер с доступом к данным: CRM, задачи, структура компании, приглашения, почта. Подключение — через OAuth или токен из портала. По умолчанию внешние ИИ-системы выключены, включает администратор в разделе «Настройки → MCP». В облаке на домене .ru нужна подписка BitrixGPT вместе с Маркетом. Действия выполняются только по запросу пользователя и в пределах его прав — та же схема, что у Supabase.

Не перепутайте с другим сервером Битрикс24, для документации REST: он данных не отдаёт и методы не вызывает, помогает только программисту. А в сентябре вышел ещё сервер Bizproc, где бизнес-процесс описывают в чате, а сервис сам собирает воронки, стадии и роботов. Подписка в облаке стоит от 500 ₽ в месяц без НДС на тарифе «Базовый» по акции до 31.12.2026, без акции — от 1000 ₽ (на ноябрь 2026). Работает ли MCP в коробочной версии, в открытых источниках не нашли.

Что сделать завтра

Выпишите три-пять вопросов, которые вы хотите задавать нейросети. Каждый из них потом станет отдельным инструментом. Если вопроса нет в списке, у модели не должно быть и кнопки под него.
Заведите в 1С отдельного пользователя только с чтением тех справочников и регистров, которые нужны для этих вопросов.
Первым ставьте сервер, который умеет только читать. Запись в базу добавляйте позже, и только с подтверждением человеком.
Не публикуйте HTTP-сервис 1С без аутентификации ради удобства подключения.
В Битрикс24 включайте MCP от имени сотрудника с узкими правами, а не от администратора.
Решите, где будет жить модель, и проверьте, какой транспорт MCP понимает её клиент.

Кто что умеет и почём

Модель или сервис	MCP	Цена на ноябрь 2026
GigaChat (Сбер)	function calling, Сбер позиционирует как ядро для MCP-серверов	за 1000 токенов с НДС: Lite 0,065 ₽, Pro 0,5 ₽, Max 0,65 ₽; минимум 600 ₽ в месяц при использовании
Yandex AI Studio	MCP Hub: свои и внешние серверы, ограничение инструментов, подтверждение, журнал	Alice AI LLM Flash 0,1 ₽, YandexGPT Pro 5 — 1,2 ₽ за 1000 входных токенов с НДС; сам вызов MCP-инструмента не тарифицируется
DeepSeek `deepseek-flash`	function calling, MCP подключает клиент	за 1 млн токенов: вход $0,15–0,3, выход $0,6–1,2 (дороже в часы пик)
GLM-5.3 / GLM-5.3-Flash	API Z.ai сам подключает MCP-серверы (SSE и Streamable HTTP, в примерах glm-4.6)	за 1 млн токенов: $1,4 / $4,4 и $0,15 / $0,50
Qwen (Alibaba Cloud)	только SSE-серверы, до 10	токены модели плюс тариф самого MCP-сервера
Kimi	hosted agents: Streamable HTTP, до 20 серверов	цены прочитать не удалось

Сколько стоит один ответ про остатки через MCP в рублях, честно посчитать пока не из чего: нет данных, сколько токенов уходит на типовой запрос. Своего MCP-сервера для 1С или Битрикс24 мы ещё не запускали, клиентских случаев нет. Наш консультант на DeepSeek обходится примерно в 29 ₽ за 1000 диалогов, но он с MCP не работает, это просто чат.

Если хотите обсудить, как подключить нейросеть к вашим данным, — услуги и ориентиры по ценам на странице 2site.ru/uslugi. Начинать мы всё равно предложим с одного вопроса и одного инструмента только на чтение. Расширять окно потом легко. Сузить его после утечки уже не получится.