Les outils publics MCP restent read-only. Les outils privés doivent échouer proprement sans credential valide, et exposer la frontière produit au lieu de laisser l'agent inventer.