diff --git a/common/context-hub-filtrage-scope-par-agent.md b/common/context-hub-filtrage-scope-par-agent.md
index 3ffa7ad..201c8e9 100644
--- a/common/context-hub-filtrage-scope-par-agent.md
+++ b/common/context-hub-filtrage-scope-par-agent.md
@@ -41,9 +41,14 @@ Redemarrage via Portainer API (bind mount `./app:/app/app`, pas de rebuild neces
 absent du shell mcp-nas, restart fait via `POST /api/endpoints/2/docker/containers/{id}/restart`
 avec JWT bestof). Healthcheck repasse `healthy` apres restart. Teste en clair sur `GET /api/rules/infra`
 et `GET /api/context` avec la cle CLAUDE (mcp_nas + last_claude_session presents) et la cle GEMINI
-(absents, `_agent_only` absent des deux). Non teste explicitement sur le transport MCP Streamable
-HTTP (meme fonction appelee au meme point d'extraction que les endpoints REST verifies -- syntaxe
-validee via `ast.parse`, mais pas d'appel MCP live effectue).
+(absents, `_agent_only` absent des deux).
+
+Transport MCP Streamable HTTP (`POST /mcp/`, stateless, `json_response=True`) verifie separement en
+JSON-RPC brut (`tools/call`), les 4 tools concernes testes cle CLAUDE + cle GEMINI : `get_rules`,
+`search_rules`, `get_agent_config`, `get_my_context` -- meme resultat que le REST (filtrage actif
+cote GEMINI, intact cote CLAUDE). `get_agent_config`/`get_my_context` exigent un champ `name`/`agent`
+dans les arguments par schema JSON, mais l'autorisation reelle utilise `current_agent_var` (identite
+de connexion X-API-Key), jamais ce champ declaratif -- ne pas s'y fier pour usurper un agent.
 
 ## Extension future