MCP 与 Zero Trust

安全的 AI 代理，服务于 工业自动化

AI 代理现在可以创建、配置和管理 Siemens TIA Portal 项目——每个 MCP 调用都通过 AgentGateway 进行 Zero-Trust 安全路由。没有未授权的命令能到达您的 PLC。

→ Claude Code (CLI) → AgentGateway (端口 4000) → T-IA Connect (端口 9000)
问题

AI + PLC = 没有防护措施则十分危险

在工业自动化中，一条未授权的 AI 命令——停止 CPU、关闭项目、覆盖安全块——可能导致整条生产线停产。

不受限制的访问

标准 MCP 连接使 AI 代理能够无过滤地完全访问所有 190+ TIA Portal 工具。

没有审计追踪

没有代理层，就没有关于 AI 代理做了什么、何时做的、为什么做的集中日志。

没有策略执行

您无法选择性地阻止危险操作（关闭项目、停止 CPU），同时允许安全操作（读取标签、列出块）。

解决方案

AgentGateway 作为 Zero-Trust MCP 代理

AgentGateway 位于 AI 代理和 T-IA Connect 之间，在每个 MCP 调用到达 TIA Portal 之前执行策略。 AgentGateway by Solo.io

基于策略的过滤

定义 YAML 规则来拒绝特定工具。被阻止的工具从代理的视图中完全消失——没有错误，没有绕过。

完整的审计日志

每个 MCP 调用都记录了时间戳、工具名称、参数和结果。为合规性提供完整的可追溯性。

合并的后端

AgentGateway 将 SSE（原生 MCP）和 OpenAPI（REST 转 MCP）后端合并为一个统一的端点。

架构

工作 原理

AI 代理连接到端口 4000 上的 AgentGateway。AgentGateway 将请求路由到端口 9000 上的 T-IA Connect，在每一步都执行 Zero-Trust 策略。

T-IA Connect

Siemens TIA Portal V20 的 MCP 服务器 (Openness API)

Port 9000

AgentGateway

Zero-Trust MCP 代理 (Solo.io)

Port 4000

Admin UI

AgentGateway Playground 和监控仪表板

Port 15000

Claude Code

AI 代理 (Anthropic CLI) — 消费者

CLI
两个后端，一个端点

SSE + OpenAPI 无缝合并

AgentGateway 将两个不同的后端合并为一个 AI 代理使用的 MCP 端点：

原生 SSE 工具

siemens-tia-portal_* — 来自 T-IA Connect 原生 MCP 服务器的实时流式工具。

OpenAPI REST 工具

tia-openapi_* — 通过 OpenAPI 规范自动转换为 MCP 工具的完整 REST API。

Zero-Trust 策略

阻止危险工具 只需一行 YAML

定义 AI 代理可以做什么和不能做什么。被拒绝的工具完全消失——代理甚至不知道它们的存在。

示例：阻止关闭项目

这条规则阻止任何 AI 代理关闭 TIA Portal 项目：

agent-gateway.yaml
policies:
  mcpAuthorization:
    rules:
    - deny: mcp.tool.name == "close_project"

应用后，close_project 从代理的工具列表中完全消失。没有错误消息，没有变通方法——从代理的角度来看，该工具根本不存在。

现场演示

观看 实际效果

观看 AI 代理创建 TIA Portal 项目、配置 CPU 并生成梯形图逻辑——全部通过自然语言完成，全部由 AgentGateway 保障安全。

快速入门

分三步 完成部署

在几分钟内启动完整的 Zero-Trust MCP 技术栈。

1启动 AgentGateway

使用您的配置文件和处理后的 OpenAPI 规范运行 AgentGateway Docker 容器。

Terminal
docker run -d --name agent-gateway --restart always \
  -p 4000:4000 -p 15000:15000 \
  -e ADMIN_ADDR=0.0.0.0:15000 \
  -v "$(pwd)/agent-gateway.yaml:/config.yaml" \
  -v "$(pwd)/tia-openapi3-norec.json:/tia-openapi3-norec.json" \
  ghcr.io/agentgateway/agentgateway:v1.0.0-alpha.2 -f /config.yaml

2配置 Claude Code

将您的 AI 代理指向端口 4000 上的 AgentGateway MCP 端点。

.claude.json
// .claude.json
{
  "mcpServers": {
    "tia-connect": {
      "type": "http",
      "url": "http://localhost:4000/mcp"
    }
  }
}

3定义策略

编写 YAML 规则来控制代理可以访问哪些工具。重启容器以应用。

关键成果

您将 获得什么

190+ MCP 工具

每项 TIA Portal 功能都作为 MCP 工具公开——SSE 和 OpenAPI 合并在一个端点中。

Zero-Trust 执行

被阻止的工具从代理的视图中消失。没有错误，没有绕过——它们根本不存在。

完整的审计追踪

每个 AI 操作都记录了完整的上下文，用于合规和调试。

自然语言控制

创建项目、配置 CPU、生成梯形图逻辑——全部通过对话式 AI 完成。

准备好保护您的工业 AI 了吗？

开始使用 T-IA Connect 和 AgentGateway，为您的 AI 驱动的自动化工作流带来 Zero-Trust 安全。

免费试用 T-IA Connect在 GitHub 上查看