AIエージェントから外部ツールや社内データへ接続する方法として、MCP（Model Context Protocol）の利用が広がっています。接続方法を共通化できる一方、AIが自然言語の指示をもとにツールを選び、データを読み、操作を実行するため、従来のAPI連携とは異なる確認が必要です。

この記事では、MCPを試験導入するときに最低限確認したい対策を、MCP公式ドキュメント、NSA、OWASPの公開情報から整理します。

調査条件
調査日2026年8月11日
確認範囲MCP公式仕様・セキュリティガイド、NSA、OWASPの公開情報
Genspark最新のMCPセキュリティ論点と一次情報候補の探索に使用

MCPで増えるのは「接続先」だけではない

MCPは、AIアプリケーションと外部のツール、データ、サービスを共通の形式で接続する仕組みです。便利になる一方で、接続したサーバーの説明、返却データ、認証情報、実行権限がAIの判断に影響します。

MCP公式のセキュリティガイドは、confused deputy（権限を持つ仲介者の悪用）、token passthrough、SSRF、ローカルMCPサーバー侵害など、実装時に考慮すべき攻撃と対策を整理しています。NSAも、動的なツール実行、暗黙の信頼関係、コンテキスト共有が従来とは異なるリスクを生むとして、慎重な導入を勧めています。

重要なのは、「接続できたから運用できる」と考えないことです。接続元、権限、実行前確認、ログ、停止方法までをひとつの運用として設計します。

1. 接続するMCPサーバーの出所を確認する

最初に、誰が開発・配布しているサーバーなのかを確認します。公開パッケージ名だけで信用せず、公式repository、配布元、更新履歴、依存関係、ライセンス、脆弱性情報を照合します。

一度確認したサーバーでも、更新後にツール定義や権限要求が変わる可能性があります。バージョンを固定し、更新差分を確認してから反映する手順が必要です。

2. 権限は最小単位に分ける

読み取りだけで済む作業に、更新・削除・送信まで許可しないようにします。MCPサーバーごとに資格情報を分離し、OAuth scopeやファイルアクセス範囲も必要最小限にします。

たとえばメール整理なら、最初は検索と閲覧だけに限定します。返信、転送、削除、ラベル変更は別権限とし、実際に必要になってから追加します。

3. 読み取りと書き込みを分ける

調査・確認の工程と、外部へ影響する工程を同じ許可で動かさないことが大切です。

  • 読み取り: 検索、一覧、取得、要約、状態確認
  • 書き込み: 送信、公開、更新、削除、購入、権限変更

この境界を分けると、悪意ある指示や誤認が混入しても、ただちに外部操作へ進む可能性を抑えられます。

4. 重要操作には人間確認を残す

メール送信、公開、削除、購入、顧客データ更新など、取り消しにくい操作は実行直前に対象と内容を人間が確認します。

「AIを使うなら全部自動化する」と考える必要はありません。繰り返し作業を自動化しつつ、影響の大きい最後の一手だけを人間が確認する設計は、実務上扱いやすい方法です。

5. MCPサーバーを隔離する

ローカルMCPサーバーへ端末全体の権限を与えると、侵害時の影響も端末全体へ広がります。専用ユーザー、コンテナ、仮想環境、許可ディレクトリなどを使い、アクセスできる範囲を限定します。

社内データと公開Web調査を扱うサーバーを分けることも有効です。秘密情報を扱う環境から、不要な外部通信を許可しない構成にします。

6. ツールの入力と返却値を信用しすぎない

プロンプトインジェクションは、ユーザー入力だけから届くとは限りません。Webページ、文書、メール、ツール説明、ツールの返却値に、AIの動作を変えようとする指示が混ざる可能性があります。

外部コンテンツは「情報」であり「命令」ではないと区別し、許可された引数、送信先、ファイル種別、文字数などを機械的に検証します。秘密情報を検索語、URL、メール件名などへ埋め込んで送信しない制御も必要です。

7. ログ、停止、復旧までを先に決める

最低限、次の項目を追跡できるようにします。

  • いつ、誰が、どのMCPサーバーを使ったか
  • どのツールを、どの権限で呼び出したか
  • 人間確認が必要な操作を誰が承認したか
  • 失敗や拒否が何回発生したか
  • 問題発生時に資格情報を失効し、接続を停止する方法

ログには秘密情報や本文を過剰に残さず、監査に必要なID、時刻、操作種別、結果を中心に記録します。

最新仕様だけで安全になるわけではない

2026年7月28日のMCP仕様では、認可サーバーのissuer検証、認証情報を発行元へ結び付ける仕組み、Dynamic Client RegistrationからClient ID Metadata Documentsへの移行など、認可面の強化が進みました。

ただし、仕様への準拠だけで、過剰権限、危険なツール、プロンプトインジェクション、運用ミスが自動的に解消するわけではありません。プロトコル、実装、接続先、運用の各層を分けて確認する必要があります。

小さく始める導入順

最初のMCP導入は、次の順番にすると確認しやすくなります。

  1. 公開情報だけを扱う読み取り専用ツールを1つ選ぶ
  2. 専用の資格情報と許可範囲を設定する
  3. 取得内容、ログ、停止方法を確認する
  4. 人間確認付きで限定的な書き込みを試す
  5. 問題がない工程だけを標準化する

最初から複数サーバーをつなぎ、広い権限で自動実行すると、問題が起きたときに原因と影響範囲を特定しにくくなります。

まとめ

MCPを安全に使う鍵は、便利な接続を増やすことより、信頼境界を明確にすることです。

サーバーの出所、最小権限、読み書きの分離、人間確認、隔離、入出力検証、監査と復旧。この7点を先に整えることで、AIエージェントの利便性を保ちながら、業務への影響を管理しやすくなります。

関連: AIエージェントで業務自動化を始める最短ステップ

公式情報