Delegowanie zadań GRC z Twojego agenta

Twój agent kodujący to orkiestrator: zarządza twoim repozytorium, powłoką i plikami. ISMS Copilot to specjalista ds. zgodności, do którego może przekazać zadania związane z GRC za pośrednictwem konta MCP. Oba elementy współpracują ze sobą. Ta strona omawia, kiedy delegować zadania, jak poinstruować agenta, aby to zrobił, oraz jak utrzymywać każdą delegowaną turę na małą skalę.

Podczas łączenia agenta serwer już wysyła krótką notatkę routingu (pole instructions w MCP), wskazującą, co delegować, a co pozostawić lokalnie. Agenci nie zawsze działają zgodnie z tą notatką, dlatego reguła routingu w projekcie lub instrukcje użytkownika zapewniają niezawodność działania.

Co delegować, a co pozostawić lokalnie

Przydatny test: jeśli odpowiedź zależy od dokładnej treści standardu lub regulacji albo od kontekstu obszaru roboczego, deleguj. Jeśli zależy od zawartości repozytorium, pozostaw to lokalnie, a następnie wyślij ISMS Copilot krótkie podsumowanie istotnych faktów, zamiast samych plików. Jeśli twój model już zna odpowiedź, nie potrzebuje wyszukiwania i zapisuje ją bezpośrednio do pliku, również pozostaw to lokalnie: delegowanie zwiększa liczbę tur i generuje większe zużycie Claude w przypadku małych zadań tego typu. Zobacz gdzie delegowanie nie pomaga.

Reguły routingu, według orkiestratora

Każda reguła poniżej ma tę samą treść; różni się tylko plik. Wklej ją do pliku, który czyta twój orkiestrator. Reguły zakładają, że serwer jest zarejestrowany pod nazwą ismscopilot, jak w przewodnikach konfiguracyjnych.

Claude Code

Dodaj do CLAUDE.md w katalogu głównym projektu lub do ~/.claude/CLAUDE.md dla każdego projektu:

## Compliance work: delegate to ISMS Copilot

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory. Keep code, git, files and shell work local.

- Send the question, not framework text: do not paste standards or large documents first.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for multi-step analysis; beyond only when I ask for it.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify only what ISMS Copilot marks as unconfirmed or says it cannot confirm: check it against the official source text before relying on it (fetch the official publication if you have web access). Do not re-check confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Konfiguracja: Połącz ISMS Copilot z Claude Code.

Codex, OpenCode i Grok

Te orkiestratory czytają AGENTS.md. Umieść tę samą regułę w AGENTS.md w katalogu głównym projektu lub w globalnym pliku instrukcji orkiestratora (na przykład ~/.codex/AGENTS.md dla Codex). Sprawdź dokumentację swojej wersji orkiestratora, aby poznać dokładną ścieżkę globalną.

## Compliance work: delegate to ISMS Copilot

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory. Keep code, git, files and shell work local.

- Send the question, not framework text: do not paste standards or large documents first.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for multi-step analysis; beyond only when I ask for it.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify only what ISMS Copilot marks as unconfirmed or says it cannot confirm: check it against the official source text before relying on it (fetch the official publication if you have web access). Do not re-check confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Konfiguracja: Połącz Cursor i Codex lub Połącz dowolnego klienta MCP dla OpenCode i Grok.

Cursor

Utwórz regułę projektu w .cursor/rules/ismscopilot.mdc:

---
description: Delegate compliance and GRC work to the ISMS Copilot MCP server
alwaysApply: true
---

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory. Keep code, git, files and shell work local.

- Send the question, not framework text: do not paste standards or large documents first.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for multi-step analysis; beyond only when I ask for it.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify only what ISMS Copilot marks as unconfirmed or says it cannot confirm: check it against the official source text before relying on it (fetch the official publication if you have web access). Do not re-check confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Konfiguracja: Połącz Cursor i Codex.

claude.ai, Claude Desktop i ChatGPT

Dodaj ISMS Copilot jako niestandardowy konektor (w ChatGPT jako niestandardową aplikację MCP z OAuth i ustawieniami domyślnymi) z adresem URL punktu końcowego, a następnie zaloguj się i kliknij Zatwierdź. Te aplikacje nie mają pliku instrukcji dla powyższej reguły routingu; umieść ją w projekcie lub niestandardowych instrukcjach, jeśli aplikacja je obsługuje. Konfiguracja: Połącz dowolnego klienta MCP.

Sprawdzone wzorce

Jedna rozmowa na produkt

Rozpocznij każdy produkt (politykę kontroli dostępu, analizę luk, zestaw uzasadnień SoA) od create_conversation, a następnie udoskonalaj go za pomocą send_message na tym samym conversation_id. Specjalista przechowuje historię wątku po swojej stronie, więc twój agent nie musi ponownie wysyłać wcześniejszych tur. Rozpocznij nową rozmowę dla niepowiązanego produktu: długie wątki zużywają więcej Twojego okna użytkowania na wiadomość.

Zakres prac klienta i firmy w obszarze roboczym

Przekazuj workspace_id (z list_workspaces), gdy praca należy do konkretnego klienta lub firmy. W turze z zakresem obszaru roboczego ISMS Copilot odczytuje pamięci i pliki tego obszaru, więc twój agent nie musi ich ponownie określać. Bez workspace_id tura działa tylko na Twoich osobistych pamięciach.

Pamięci dla trwałych faktów

Fakty, które powinny obowiązywać w każdej przyszłej turze (zakres certyfikacji, wybrana metodologia ryzyka, data audytu), należą do pamięci: create_memory, z workspace_id dla pamięci obszaru roboczego lub bez niego dla osobistej. Pamięci są ograniczone do 500 znaków każda. Użyj list_memories, aby sprawdzić, co już tam jest, zanim dodasz duplikat.

Kontekst firmy

set_company_context zastępuje profil firmy konta (nazwa, sektor, rozmiar, kraj, rola prywatności, typy danych, region hostingu, stos technologiczny, notatki), a get_company_context go odczytuje. Aplikacja czatu używa tego profilu jako tła, a rozmowy, które Twój agent przeprowadza przez MCP lub API konta, również go otrzymują, na tych samych warunkach co czat internetowy: w rozmowie rozpoczętej przez Twoje konto profil jest dodawany jako tło do każdej tury, a odpowiedzi mogą wykorzystywać fakty z niego. Używany jest tylko profil Twojego konta i nigdy nie jest udostępniany innemu kontu. Nie jest dodawany w przestrzeniach roboczych udostępnianych zespołowi ani w czatach tymczasowych, ani gdy nie można go odczytać (tura jest wtedy przeprowadzana bez niego). Fakty istotne tylko dla jednego pytania mogą nadal znaleźć się w samej wiadomości lub w pamięci przestrzeni roboczej.

Fast, Think lub Beyond

Żądanie beyond, które nie może zostać wykonane, jest obsługiwane przez normalny przepływ, a wynik zawiera powód w beyond_denied_reason: plan, adp, disabled, trivial, cap lub cap_anthropic. Tura działająca na ścieżce przepełnienia ponad limit również odpowiada przez normalny przepływ zamiast Beyond. Zobacz Korzystanie z trybu Beyond.

Poproś o odpowiedź dostosowaną do agenta

create_conversation i send_message przyjmują opcjonalny parametr answer_format:

Jawnie zażądany pełny dokument nigdy nie jest skracany. Uruchomienia Beyond ignorują answer_format i informują o tym za pomocą answer_format_applied: false.

Częstotliwość odpytywania

Gdy wywołanie zwraca status: "generating", wywołuj get_reply z conversation_id i message_id, aż zwróci complete:

• Tury Fast i Think: co 2-5 sekund.
• Uruchomienia Beyond: co 10-20 sekund. Możesz również przekazać beyond_run_id, który zwrócił bilet.

Poczekaj na odpowiedź, zanim wyślesz kolejną wiadomość w tej samej rozmowie: wysłanie wiadomości, gdy poprzednia tura jest nadal generowana, zostanie odrzucone.

Zapisuj długie dokumenty do plików

Gdy specjalista zwraca politykę lub pełne SoA, spraw, aby Twój agent zapisał ją bezpośrednio do pliku i zgłosił ścieżkę. Powtarzanie długiego dokumentu w czacie powoduje jego dwukrotne umieszczenie w kontekście Twojego agenta. Zobacz Co oszczędza delegowanie.

MCP czy Model API?

ISMS Copilot oferuje dwa sposoby dostępu z poziomu agenta kodującego. Nadają się do różnych zadań.

| | Account MCP | Podagent Model API | | --- | --- | | Poświadczenie | Osobisty token dostępu pat-isms-… | Klucz API sk-isms-… | | Rozliczenia | Twoja subskrypcja czatu i jej 4-godzinne okno wykorzystania | Przedpłacone kredyty API | | Stan | Stanowy: rozmowy, przestrzenie robocze, pamięci, pliki | Bezstanowy: każde zakończenie jest niezależne | | Narzędzia w Twoim agencie | Tak, natywne narzędzia MCP | Nie: endpoint to tekst na wejściu, tekst na wyjściu, wywoływany ze skryptu lub kroku | | Najlepsze do | Pracy interaktywnej, w której Ty i Twój agent udoskonalacie produkt końcowy przez kilka tur | Stałych, powtarzalnych kroków zgodności w skryptach, CI lub automatyzacji |

Aby poznać wzorzec Model API, zobacz Użycie API w agentach kodujących.