MCPに脆弱性報告相次ぐ——エージェント通信の外部接続、情報窃取リスクが浮上

MCP普及の裏で相次ぐ脆弱性報告

AI（人工知能）エージェントと外部システムをつなぐ共通プロトコル「MCP（Model Context Protocol）」について、脆弱性の報告が相次いでいる。日経クロステックによれば、MCPはAIエージェントが外部のツールやデータソースに接続するための橋渡し役として急速に普及しているが、その接続の仕組み自体がセキュリティ上の弱点になり得ることが指摘されている。エージェントが自律的に外部リソースへアクセスする設計は利便性を高める一方、悪意ある接続先や不正な入力を通じた攻撃の入口を広げているという構図だ。

MCPはもともとAIモデルに外部の文脈情報やツール機能を統一的な形式で渡すために提唱された規格で、Agentic AIやマルチエージェントシステムの普及と歩調を合わせて採用が拡大してきた。コーディングエージェントやAgentic CLIなど自律的にタスクを実行するツールの基盤としても組み込まれつつあり、対応するMCPサーバーの数も増加の一途をたどっている。普及が進むほど攻撃対象領域も同時に広がるという典型的なトレードオフが、今回の一連の報告で顕在化した形だ。

外部接続経由の情報窃取リスク

報告されている脆弱性の核心は、外部接続を悪用した情報窃取のリスクにある。エージェントが外部のMCPサーバーやツールに接続する際、接続先が正当なものか十分に検証されないまま処理が進むと、機密情報や認証情報が意図せず外部に流出する経路が生まれる。これはプロンプトインジェクションのような入力操作攻撃とも関連し、エージェントが処理する文脈情報（コンテキスト）に不正な指示が紛れ込むことで、本来意図しない外部送信やデータ持ち出しが引き起こされる可能性がある。

企業がMCPを社内システムやクローズドAIエージェント環境に組み込む際、接続先の権限範囲を限定せずに広く許可してしまうと、被害が拡大しやすい構造になる点も懸念材料だ。特にAPIキーや社内データベースへのアクセス権をエージェントに一括で付与しているケースでは、一つの不正接続が連鎖的に複数システムへの侵入を許す恐れがある。

企業に求められる設計上の対応

この状況を受け、業界ではエージェント通信における信頼性検証の仕組み作りが急務となっている。接続先サーバーの正当性確認、権限の最小化、通信ログの監査体制の整備といった基本的な対策が、MCP導入企業に共通して求められる方向性だ。context engineeringの観点からも、エージェントに与える文脈情報を厳格に設計し、不正な指示が混入しないようフィルタリングする仕組みが重要になる。

AIエージェント属性情報レジストリのような、接続先エージェントの信頼性を管理する仕組みの検討も今後の課題となるだろう。MCPが「便利な標準」から「安全な標準」へと成熟するには、プロトコル自体の改善と利用企業側の運用ルール整備の両輪が不可欠だ。業界全体としては、単体企業の対策にとどまらず、標準化団体やベンダー間での脆弱性情報共有の枠組み構築も今後の焦点になるとみられる。