@agent-native/core 0.106.3 → 0.107.0

package/corpus/core/docs/content/locales/de-DE/mcp-clients.mdx

@@ -246,7 +246,28 @@ Das bedeutet, dass Benutzer, die die Claude-in-Chrome-Erweiterung installiert ha
 MCP-Server (Model Context Protocol) geben Ihrem Agenten neue Fähigkeiten – wie die Verbindung zu Zapier, Cloudflare, Composio oder den internen Tools Ihres Unternehmens. Sobald die Verbindung hergestellt ist, kann der Agent diese Tools genauso verwenden wie die integrierten.
 
 Die Preset-IDs sind `context7`, `sentry`, `notion`, `semgrep`, `linear`,
-`atlassian`, `supabase`, `neon` und `stripe`.
+`atlassian`, `supabase`, `neon`, `stripe`, `cloudflare`, `gitlab`, `figma`,
+`vercel`, `github`, `slack`, `asana`, `hubspot`, `intercom`, `monday`, `webflow`, `paypal`, `box`, `netlify` und `zapier`.
+
+Das Verzeichnis unterscheidet Endpunkte mit dem generischen OAuth-Ablauf von
+Anbietern, die einen vom Anbieter genehmigten Client oder eine vorab registrierte
+OAuth-Anwendung benötigen. Solche Einträge bleiben zur Entdeckung sichtbar und
+verlinken auf die offiziellen Einrichtungsanweisungen, zeigen aber keinen
+irreführenden Ein-Klick-Verbindungsbutton. Sandboxed Erweiterungen verwenden
+`agentNative.mcp.listTools`, `agentNative.mcp.callTool` sowie
+`agentNative.providerApi.catalog(...)` und `agentNative.providerApi.docs(...)`
+über die Host-Aktionen, um verbundene Daten zu ermitteln; Verbindungs-URLs,
+Zugriffs- und Refresh-Tokens werden ihnen niemals übergeben. Der rohe
+`provider-api-request`-Aufruf bleibt bewusst dem Host und dem Agenten
+vorbehalten: Stünde er beliebigen Methoden-/Pfad-Anfragen gemeinsam genutzter
+Erweiterungen offen, könnte eine Erweiterung zu einem authentifizierten
+Schreib-Proxy werden. Erweiterungen sollten stattdessen `agentNative.mcp.callTool(...)`
+oder eine dafür vorgesehene App-Aktion für begrenzte Anbieteroperationen verwenden.
+
+Lokale Datei-Erweiterungen müssen `list-mcp-tools`, `call-mcp-tool` und jede
+unterstützte Anbieteraktion, die sie verwenden, ausdrücklich in `extension.json`
+freigeben. Die Discovery-Helfer sind auch unter `agentNative.connectors.mcp`
+und `agentNative.connectors.providerApi` verfügbar.
 
 ### Atlassian / Jira
 

package/corpus/core/docs/content/locales/es-ES/mcp-clients.mdx

@@ -247,7 +247,29 @@ Esto significa que los usuarios que han instalado la extensión claude-in-chrome
 Los servidores MCP (Protocolo de contexto modelo) le brindan a su agente nuevas capacidades, como conectarse a Zapier, Cloudflare, Composio o las herramientas internas de su empresa. Una vez conectado, el agente puede utilizar esas herramientas al igual que las integradas.
 
 Los identificadores de los ajustes preestablecidos son `context7`, `sentry`, `notion`, `semgrep`, `linear`,
-`atlassian`, `supabase`, `neon` y `stripe`.
+`atlassian`, `supabase`, `neon`, `stripe`, `cloudflare`, `gitlab`, `figma`,
+`vercel`, `github`, `slack`, `asana`, `hubspot`, `intercom`, `monday`, `webflow`, `paypal`, `box`, `netlify` y `zapier`.
+
+El directorio distingue los puntos de conexión que admiten el flujo OAuth
+genérico de los proveedores que requieren un cliente aprobado por el proveedor
+o una aplicación OAuth registrada previamente. Estos últimos siguen visibles
+para su descubrimiento y enlazan a las instrucciones oficiales, pero no muestran
+un botón de conexión de un clic que pueda resultar engañoso. Las extensiones
+aisladas usan `agentNative.mcp.listTools`, `agentNative.mcp.callTool` y
+`agentNative.providerApi.catalog(...)`/`agentNative.providerApi.docs(...)` a
+través de las acciones del host para descubrir datos conectados; nunca reciben
+URL de conexión, tokens de acceso ni tokens de actualización. La llamada
+directa `provider-api-request` se reserva intencionadamente al host y al
+agente: exponer solicitudes arbitrarias de método/ruta a extensiones
+compartidas convertiría a una extensión en un proxy de escritura autenticado.
+En su lugar, las extensiones deben usar `agentNative.mcp.callTool(...)` o una
+acción de la aplicación creada para ese fin, limitada a operaciones concretas
+del proveedor.
+
+Las extensiones locales deben permitir explícitamente `list-mcp-tools`,
+`call-mcp-tool` y cualquier acción de proveedor compatible que utilicen en
+`extension.json`. Los helpers de descubrimiento también están disponibles en
+`agentNative.connectors.mcp` y `agentNative.connectors.providerApi`.
 
 ### Atlassian / Jira
 

package/corpus/core/docs/content/locales/fr-FR/mcp-clients.mdx

@@ -246,7 +246,29 @@ Cela signifie que les utilisateurs qui ont installé l'extension claude-in-chrom
 Les serveurs MCP (Model Context Protocol) offrent à votre agent de nouvelles capacités, comme la connexion à Zapier, Cloudflare, Composio ou aux outils internes de votre entreprise. Une fois connecté, l'agent peut utiliser ces outils tout comme ses outils intégrés.
 
 Les identifiants des préréglages sont `context7`, `sentry`, `notion`, `semgrep`, `linear`,
-`atlassian`, `supabase`, `neon` et `stripe`.
+`atlassian`, `supabase`, `neon`, `stripe`, `cloudflare`, `gitlab`, `figma`,
+`vercel`, `github`, `slack`, `asana`, `hubspot`, `intercom`, `monday`, `webflow`, `paypal`, `box`, `netlify` et `zapier`.
+
+Le répertoire distingue les points de terminaison qui prennent en charge le flux
+OAuth générique des fournisseurs qui exigent un client approuvé par le fournisseur
+ou une application OAuth préenregistrée. Ces entrées restent visibles pour la
+découverte et renvoient vers les instructions officielles, mais n'affichent pas
+de bouton de connexion en un clic trompeur. Les extensions isolées utilisent
+`agentNative.mcp.listTools`, `agentNative.mcp.callTool` ainsi que
+`agentNative.providerApi.catalog(...)` et `agentNative.providerApi.docs(...)`
+via les actions de l'hôte pour découvrir les données connectées ; elles ne
+reçoivent jamais les URL de connexion, les jetons d'accès ni les jetons
+d'actualisation. L'appel brut `provider-api-request` reste volontairement
+réservé à l'hôte et à l'agent : exposer des requêtes arbitraires (méthode/chemin)
+aux extensions partagées transformerait une extension en proxy d'écriture
+authentifié. Les extensions doivent plutôt utiliser `agentNative.mcp.callTool(...)`
+ou une action d'application dédiée pour des opérations de fournisseur limitées
+et bien définies.
+
+Les extensions locales doivent autoriser explicitement `list-mcp-tools`,
+`call-mcp-tool` et toute action fournisseur prise en charge qu'elles utilisent
+dans `extension.json`. Les assistants de découverte sont également disponibles
+via `agentNative.connectors.mcp` et `agentNative.connectors.providerApi`.
 
 ### Atlassian / Jira
 

package/corpus/core/docs/content/locales/hi-IN/mcp-clients.mdx

@@ -246,7 +246,28 @@ MCP उपकरण केवल नोड रनटाइम में सक
 MCP (मॉडल कॉन्टेक्स्ट प्रोटोकॉल) सर्वर आपके एजेंट को नई क्षमताएं देते हैं - जैसे जैपियर, क्लाउडफ्लेयर, कंपोज़ियो या आपकी कंपनी के आंतरिक टूल से कनेक्ट करना। एक बार कनेक्ट होने के बाद, एजेंट उन टूल्स का उपयोग अपने बिल्ट-इन टूल्स की तरह ही कर सकता है।
 
 प्रीसेट आईडी `context7`, `sentry`, `notion`, `semgrep`, `linear`,
-`atlassian`, `supabase`, `neon` और `stripe` हैं।
+`atlassian`, `supabase`, `neon`, `stripe`, `cloudflare`, `gitlab`, `figma`,
+`vercel`, `github`, `slack`, `asana`, `hubspot`, `intercom`, `monday`, `webflow`, `paypal`, `box`, `netlify` और `zapier` हैं।
+
+डायरेक्टरी उन एंडपॉइंट्स को अलग दिखाती है जो सामान्य OAuth फ्लो का समर्थन
+करते हैं और उन प्रदाताओं को भी जो प्रदाता-अनुमोदित क्लाइंट या पहले से पंजीकृत
+OAuth ऐप मांगते हैं। ऐसे प्रदाता खोजने के लिए दिखाई देते हैं और आधिकारिक सेटअप
+निर्देशों से जुड़े होते हैं, लेकिन जहां एक-क्लिक कनेक्शन समर्थित नहीं है वहां
+भ्रामक बटन नहीं दिखाया जाता। सैंडबॉक्स की गई एक्सटेंशन होस्ट एक्शन के जरिए
+`agentNative.mcp.listTools`, `agentNative.mcp.callTool` और
+`agentNative.providerApi.catalog(...)`/`agentNative.providerApi.docs(...)` का
+उपयोग करके कनेक्टेड डेटा खोज सकती हैं; उन्हें कनेक्शन URL, एक्सेस टोकन या
+रीफ्रेश टोकन कभी नहीं मिलते। कच्चा `provider-api-request` जानबूझकर केवल
+होस्ट और एजेंट तक सीमित रखा गया है: यदि साझा की गई एक्सटेंशन को मनमाना
+मेथड/पाथ अनुरोध करने दिया जाए, तो वह एक्सटेंशन एक ऑथेंटिकेटेड राइट प्रॉक्सी
+बन सकती है। इसके बजाय एक्सटेंशन को सीमित-दायरे वाले प्रोवाइडर ऑपरेशन के लिए
+`agentNative.mcp.callTool(...)` या किसी खास उद्देश्य के लिए बनाए गए ऐप एक्शन
+का उपयोग करना चाहिए।
+
+लोकल-फ़ाइल एक्सटेंशन को `extension.json` में `list-mcp-tools`, `call-mcp-tool`
+और उनके द्वारा उपयोग की जाने वाली हर समर्थित प्रोवाइडर कार्रवाई को स्पष्ट रूप
+से अनुमति देनी होगी। डिस्कवरी हेल्पर `agentNative.connectors.mcp` और
+`agentNative.connectors.providerApi` के तहत भी उपलब्ध हैं।
 
 ### Atlassian / Jira
 

package/corpus/core/docs/content/locales/ja-JP/mcp-clients.mdx

@@ -247,7 +247,27 @@ MCP ツールはノード ランタイムでのみ有効になります — Clou
 MCP (モデル コンテキスト プロトコル) サーバーは、Zapier、Cloudflare、Composio、または会社の内部ツールへの接続など、エージェントに新しい機能を提供します。接続すると、エージェントはこれらのツールを組み込みツールと同じように使用できるようになります。
 
 プリセット ID は `context7`、`sentry`、`notion`、`semgrep`、`linear`、
-`atlassian`、`supabase`、`neon`、`stripe` です。
+`atlassian`、`supabase`、`neon`、`stripe`、`cloudflare`、`gitlab`、`figma`、
+`vercel`、`github`、`slack`、`asana`、`hubspot`、`intercom`、`monday`、`webflow`、`paypal`、`box`、`netlify`、`zapier` です。
+
+ディレクトリでは、汎用 OAuth フローに対応するエンドポイントと、プロバイダー
+が承認したクライアントまたは事前登録済みの OAuth アプリを必要とするプロバイダーを
+区別します。後者も発見用に表示され公式のセットアップ手順へリンクしますが、対応して
+いない場合に誤解を招くワンクリック接続ボタンは表示しません。サンドボックス化された
+拡張機能はホストのアクションを通じて `agentNative.mcp.listTools`、
+`agentNative.mcp.callTool`、`agentNative.providerApi.catalog(...)`、
+`agentNative.providerApi.docs(...)` を使用して接続済みデータを検出でき、接続 URL や
+アクセストークン、リフレッシュトークンを受け取ることはありません。生の
+`provider-api-request` は意図的にホストとエージェントのみに限定されています。任意の
+メソッド/パスのリクエストを共有拡張機能に公開すると、拡張機能が認証済みの書き込み
+プロキシになってしまうためです。拡張機能は代わりに、範囲を限定したプロバイダー操作
+のために `agentNative.mcp.callTool(...)` か、専用に用意されたアプリのアクションを
+使用する必要があります。
+
+ローカルファイル拡張機能は、`extension.json` で `list-mcp-tools`、
+`call-mcp-tool`、および使用するサポート対象のプロバイダーアクションを
+明示的に許可する必要があります。検出ヘルパーは
+`agentNative.connectors.mcp` と `agentNative.connectors.providerApi` からも利用できます。
 
 ### Atlassian / Jira
 

package/corpus/core/docs/content/locales/ko-KR/mcp-clients.mdx

@@ -246,7 +246,26 @@ MCP 도구는 노드 런타임(Cloudflare 작업자 및 기타 에지)에서만
 MCP(모델 컨텍스트 프로토콜) 서버는 에이전트에 Zapier, Cloudflare, Composio 또는 회사 내부 도구에 연결하는 것과 같은 새로운 기능을 제공합니다. 일단 연결되면 에이전트는 내장된 도구와 마찬가지로 해당 도구를 사용할 수 있습니다.
 
 프리셋 ID는 `context7`, `sentry`, `notion`, `semgrep`, `linear`,
-`atlassian`, `supabase`, `neon`, `stripe`입니다.
+`atlassian`, `supabase`, `neon`, `stripe`, `cloudflare`, `gitlab`, `figma`,
+`vercel`, `github`, `slack`, `asana`, `hubspot`, `intercom`, `monday`, `webflow`, `paypal`, `box`, `netlify`, `zapier`입니다.
+
+디렉터리는 일반 OAuth 흐름을 지원하는 엔드포인트와 공급자가 승인한 클라이언트
+또는 사전 등록된 OAuth 앱이 필요한 공급자를 구분합니다. 후자의 항목도 검색을
+위해 표시하고 공식 설정 안내로 연결하지만, 지원되지 않는 경우 오해를 부르는
+원클릭 연결 버튼은 표시하지 않습니다. 샌드박스 확장은 호스트 액션을 통해
+`agentNative.mcp.listTools`, `agentNative.mcp.callTool`,
+`agentNative.providerApi.catalog(...)`, `agentNative.providerApi.docs(...)`를
+사용해 연결된 데이터를 검색할 수 있으며, 연결 URL이나 액세스 토큰, 리프레시
+토큰은 절대 받지 않습니다. 원시 `provider-api-request`는 의도적으로 호스트와
+에이전트에서만 사용할 수 있습니다. 임의의 메서드/경로 요청을 공유 확장에
+노출하면 해당 확장이 인증된 쓰기 프록시가 될 수 있기 때문입니다. 확장은
+대신 범위가 제한된 공급자 작업을 위해 `agentNative.mcp.callTool(...)`이나
+목적에 맞게 만들어진 앱 액션을 사용해야 합니다.
+
+로컬 파일 확장은 `extension.json`에서 `list-mcp-tools`, `call-mcp-tool` 및
+사용하는 지원되는 공급자 액션을 명시적으로 허용해야 합니다. 검색 도우미는
+`agentNative.connectors.mcp` 및 `agentNative.connectors.providerApi`에서도
+사용할 수 있습니다.
 
 ### Atlassian / Jira
 

package/corpus/core/docs/content/locales/pt-BR/mcp-clients.mdx

@@ -246,7 +246,28 @@ Isso significa que os usuários que instalaram a extensão claude-in-chrome ter
 Os servidores MCP (Model Context Protocol) oferecem novas habilidades ao seu agente, como conectar-se ao Zapier, Cloudflare, Composio ou às ferramentas internas da sua empresa. Uma vez conectado, o agente pode usar essas ferramentas exatamente como as integradas.
 
 Os IDs de preset são `context7`, `sentry`, `notion`, `semgrep`, `linear`,
-`atlassian`, `supabase`, `neon` e `stripe`.
+`atlassian`, `supabase`, `neon`, `stripe`, `cloudflare`, `gitlab`, `figma`,
+`vercel`, `github`, `slack`, `asana`, `hubspot`, `intercom`, `monday`, `webflow`, `paypal`, `box`, `netlify` e `zapier`.
+
+O diretório diferencia endpoints que aceitam o fluxo OAuth genérico de provedores
+que exigem um cliente aprovado pelo provedor ou um aplicativo OAuth pré-registrado.
+Essas entradas continuam visíveis para descoberta e apontam para as instruções
+oficiais, mas não exibem um botão enganoso de conexão com um clique. Extensões
+isoladas usam `agentNative.mcp.listTools`, `agentNative.mcp.callTool` e
+`agentNative.providerApi.catalog(...)`/`agentNative.providerApi.docs(...)` por
+meio das ações do host para descobrir dados conectados; elas nunca recebem
+URLs de conexão, tokens de acesso nem tokens de atualização. A chamada bruta
+`provider-api-request` é intencionalmente restrita ao host e ao agente: expor
+requisições arbitrárias de método/caminho a extensões compartilhadas
+transformaria uma extensão em um proxy de escrita autenticado. Em vez disso,
+as extensões devem usar `agentNative.mcp.callTool(...)` ou uma ação de
+aplicativo criada especificamente para operações de provedor com escopo
+limitado.
+
+Extensões de arquivo local devem permitir explicitamente `list-mcp-tools`,
+`call-mcp-tool` e qualquer ação de provedor compatível que usem em
+`extension.json`. Os helpers de descoberta também estão disponíveis em
+`agentNative.connectors.mcp` e `agentNative.connectors.providerApi`.
 
 ### Atlassian / Jira
 

package/corpus/core/docs/content/locales/zh-CN/mcp-clients.mdx

@@ -246,7 +246,23 @@ MCP 工具仅在 Node 运行时激活 - Cloudflare Workers 和其他边缘
 MCP（模型上下文协议）服务器为您的代理提供新的能力 - 例如连接到 Zapier、Cloudflare、Composio 或您公司的内部工具。连接后，代理可以像使用内置工具一样使用这些工具。
 
 预设 ID 包括 `context7`、`sentry`、`notion`、`semgrep`、`linear`、
-`atlassian`、`supabase`、`neon` 和 `stripe`。
+`atlassian`、`supabase`、`neon`、`stripe`、`cloudflare`、`gitlab`、`figma`、
+`vercel`、`github`、`slack`、`asana`、`hubspot`、`intercom`、`monday`、`webflow`、`paypal`、`box`、`netlify` 和 `zapier`。
+
+目录会区分支持通用 OAuth 流程的端点，以及需要供应商批准的客户端或预先注册的
+OAuth 应用的供应商。后者仍会显示以便发现，并链接到官方设置说明；但在不支持时，
+不会显示容易误导的一键连接按钮。沙盒扩展可以通过主机操作使用
+`agentNative.mcp.listTools`、`agentNative.mcp.callTool` 以及
+`agentNative.providerApi.catalog(...)`、`agentNative.providerApi.docs(...)`
+来发现已连接的数据，但绝不会收到连接 URL、访问令牌或刷新令牌。原始的
+`provider-api-request` 有意仅限主机和代理使用：如果向共享扩展开放任意方法/
+路径的请求，扩展就可能变成一个经过身份验证的写入代理。因此扩展应改用
+`agentNative.mcp.callTool(...)` 或专门构建的应用操作来执行范围受限的供应商
+操作。
+
+本地文件扩展必须在 `extension.json` 中明确允许 `list-mcp-tools`、
+`call-mcp-tool` 以及它们使用的任何受支持的提供商操作。发现辅助函数也可通过
+`agentNative.connectors.mcp` 和 `agentNative.connectors.providerApi` 使用。
 
 ### Atlassian / Jira
 

package/corpus/core/docs/content/locales/zh-TW/mcp-clients.mdx

@@ -246,7 +246,23 @@ MCP 工具僅在 Node 執行時啟用 - Cloudflare Workers 和其他邊緣
 MCP（模型脈絡協議）伺服器為您的代理提供新的能力 - 例如連線到 Zapier、Cloudflare、Composio 或您公司的內部工具。連線後，代理可以像使用內建工具一樣使用這些工具。
 
 預設 ID 包括 `context7`、`sentry`、`notion`、`semgrep`、`linear`、
-`atlassian`、`supabase`、`neon` 和 `stripe`。
+`atlassian`、`supabase`、`neon`、`stripe`、`cloudflare`、`gitlab`、`figma`、
+`vercel`、`github`、`slack`、`asana`、`hubspot`、`intercom`、`monday`、`webflow`、`paypal`、`box`、`netlify` 和 `zapier`。
+
+目錄會區分支援通用 OAuth 流程的端點，以及需要供應商核准的用戶端或預先註冊的
+OAuth 應用程式的供應商。後者仍會顯示以便探索，並連結至官方設定說明；但在不支援
+時不會顯示容易誤導的一鍵連線按鈕。沙盒擴充功能可以透過主機動作使用
+`agentNative.mcp.listTools`、`agentNative.mcp.callTool` 以及
+`agentNative.providerApi.catalog(...)`、`agentNative.providerApi.docs(...)`
+來探索已連線的資料，但絕不會收到連線 URL、存取權杖或重新整理權杖。原始的
+`provider-api-request` 刻意僅限主機與代理使用：若向共用擴充功能開放任意
+方法/路徑的請求，擴充功能就可能變成一個經過驗證的寫入代理。因此擴充功能
+應改用 `agentNative.mcp.callTool(...)` 或專為此目的打造的應用程式動作，
+執行範圍受限的供應商操作。
+
+本機檔案擴充功能必須在 `extension.json` 中明確允許 `list-mcp-tools`、
+`call-mcp-tool` 以及其使用的任何支援供應商動作。探索輔助函式也可透過
+`agentNative.connectors.mcp` 和 `agentNative.connectors.providerApi` 使用。
 
 ### Atlassian / Jira
 

package/corpus/core/docs/content/mcp-clients.mdx

@@ -7,6 +7,10 @@ description: "Connect your agent-native app to local MCP servers (claude-in-chro
 
 **This page: give your agent more tools.** Point an agent-native app at MCP servers — local or remote — so their tools show up in the agent chat. This is the _client_ direction, the mirror image of [MCP Server](/docs/mcp-protocol) (which makes your app an MCP _server_). Note the dual use of "client" here: this page is about your app acting as an MCP client of _other_ servers — a different sense from an "MCP host" like Claude or Cursor connecting to your app (see [MCP Server](/docs/mcp-protocol) for that direction).
 
+**Looking for the provider list first?** See the [Integrations Directory](/docs/integrations)
+for the self-hosted catalog wall, connection modes, setup links, and current
+restricted-provider notes.
+
 | If you want to…                                              | Read                                     |
 | ------------------------------------------------------------ | ---------------------------------------- |
 | Connect an external agent/host to your app                   | [External Agents](/docs/external-agents) |
@@ -272,7 +276,16 @@ export default {
 ```
 
 Preset ids are `context7`, `sentry`, `notion`, `semgrep`, `linear`,
-`atlassian`, `supabase`, `neon`, and `stripe`.
+`atlassian`, `supabase`, `neon`, `stripe`, `cloudflare`, `gitlab`, `figma`,
+`vercel`, `github`, `slack`, `asana`, `hubspot`, `intercom`, `monday`,
+`webflow`, `paypal`, `box`, `netlify`, and `zapier`.
+
+The directory distinguishes endpoints that support the framework's generic
+OAuth flow from providers that require a vendor-approved client or a
+pre-registered OAuth application. The latter stay visible for discovery and
+link to their official setup instructions, but do not show a misleading
+one-click connect button. Provider restrictions change over time, so verify
+the vendor setup note before enabling one in a production catalog.
 
 ### Atlassian / Jira
 
@@ -319,6 +332,43 @@ Adds and removes hot-reload into the running MCP manager — no process restart,
 
 HTTPS URLs are accepted everywhere; plain `http://` is only allowed for `localhost` during development. Optional auth goes in as a Bearer token that's sent via `Authorization: Bearer …` on every request. OAuth-only providers, including Atlassian Rovo MCP, require the provider's OAuth flow instead of a static header.
 
+### Use connected MCP and OAuth provider data in extensions
+
+Extensions run in a sandboxed iframe and never receive connector URLs, OAuth
+client secrets, access tokens, or refresh tokens. They can call the same
+request-scoped action surface as the host app through the injected helpers:
+
+```html
+<div
+  x-data="{ tools: [] }"
+  x-init="
+  agentNative.mcp.listTools().then(result => tools = result)
+"
+>
+  <template x-for="tool in tools" :key="tool.serverId + ':' + tool.name">
+    <p x-text="tool.title || tool.name"></p>
+  </template>
+</div>
+```
+
+To invoke a tool after inspecting its contract, use
+`agentNative.mcp.callTool(serverId, toolName, arguments)`. For regular OAuth
+provider connectors used by Analytics, Dispatch, Mail, Content, Calendar, and
+other templates, use `agentNative.providerApi.catalog(...)` and
+`agentNative.providerApi.docs(...)` to discover the granted provider API. Raw
+`provider-api-request` is intentionally host/agent-only: exposing arbitrary
+method/path requests to shared extensions would make an extension an
+authenticated write proxy. Extensions should use `agentNative.mcp.callTool(...)`
+or a purpose-built app action for bounded provider operations. The discovery
+helpers are also available under `agentNative.connectors.mcp` and
+`agentNative.connectors.providerApi`.
+
+Local-file extensions must explicitly allow `list-mcp-tools`,
+`call-mcp-tool`, and any explicitly supported provider action they use in
+`extension.json`.
+Database-backed extensions use the existing extension role and action gates.
+Never pass a raw bearer token or arbitrary provider URL from extension code.
+
 Under the hood these servers are persisted in the framework's `settings` table under the key `u:<email>:mcp-servers-remote` (Personal) or `o:<orgId>:mcp-servers-remote` (Team) and merged with `mcp.config.json` on startup.
 
 ### HTTP endpoints