MCPは「ツール接続」、A2Aは「エージェント間協調」——役割分担明確化の裏でサーバー急増がサプライチェーン攻撃の温床に

MCPとA2A、役割分担が業界標準として定着

2024年11月25日にAnthropicがオープン標準として公開したモデル・コンテキスト・プロトコル（MCP）は、AIエージェントがAPIやデータベース、社内ツールといった外部リソースと通信するための標準化レイヤーとして急速に普及した。TheNextWebによれば、MCPはクライアント・サーバーモデルを採用し、サーバー側がツール・リソース・プロンプトを提供、クライアント側は誘導（elicitation）を通じてユーザーとの双方向通信を担う構造になっている。

一方、2025年4月にGoogleが立ち上げたAgent2Agent（A2A）プロトコルは、異なるベンダーやフレームワークで構築されたAIエージェント同士の相互運用を目的とする。IBMの解説では、在庫管理エージェントがMCPでデータベースと連携し、在庫不足を検知すると発注エージェントに通知、発注エージェントがA2Aで外部サプライヤーのエージェントと交渉するという具体例が示され、両プロトコルは競合ではなく補完関係にあると整理されている。A2Aは現在Linux Foundation傘下のオープンソースプロジェクトとして運営されている。

実装現場での使い分け基準

Oracleのエンジニアが公開した比較記事「Agent Communication Matrix」では、MCPとA2Aは一見似た技術スタック（HTTP、JSON-RPC、ストリーミング）を使うが、相互作用のモデルが異なると指摘する。Oracle Developers Blogによれば、MCPは「モデルが呼び出し、サーバーが構造化応答を返す」アトミックな処理を前提とし、A2Aは「submitted、working、completed、failed」というライフサイクルを両者が監視するステートフルな処理を前提とする。実際にはMCPサーバーがLLMバックエンドを内包してエージェント呼び出しとして機能したり、A2AエージェントがMCPツールとして自身を公開したりするケースが本番環境で既に起きており、境界は流動的だという。

AWSも同様の立場を取り、AWS Open Source BlogではMCPは元々ツール接続用に作られたが、エージェント間接続にも転用可能であり、A2Aはエージェント間接続用に作られたがツール接続と併用可能と説明する。AWSはStrands Agents SDKを通じて両プロトコルを同時サポートし、顧客がMCP・A2A・両方の混在構成のいずれでもデプロイできる環境を提供している。IBMが提唱するAgent Communication Protocol（ACP）も、JSON-RPCより単純な標準HTTPパターンを使う選択肢として並走している。

MCPサーバー急増がサプライチェーン攻撃の入口に

普及が進む一方でリスクも顕在化している。IT Proが報じたところによると、研究者Moshe Ben Siman Tov氏、Nir Zadok氏、Mustafa Naamnih氏、Roni Bar氏の4名は、MCPを悪用したサプライチェーン攻撃の実証実験を実施し、「攻撃範囲は甚大で、実際に有料顧客を抱える実企業6社の本番サービスに対して直接コマンド実行が可能だった」と結論づけた。同チームは30件超の責任ある開示プロセスを行い、Critical・High評価のCVE10件を確認、複数プロジェクトの修正を支援したという。MCPは現在、数百万規模のエージェントと数十万規模のサーバーで利用されているとされ、攻撃対象領域（アタックサーフェス）としての重みは無視できない水準に達している。

Netskopeが可視化・アクセス制御機能を発表

こうしたリスクに対応する形で、Netskope Japanは2025年12月1日、Netskope Oneプラットフォームに向けたMCP通信専用のセキュリティ機能を発表した。プレスリリースによれば、組織内で稼働するMCPサーバー・クライアントを名前・ID・URL・バージョン・ホスト・データソースといった属性情報とともにリアルタイムで特定し、Cloud Confidence Indexによるリスクスコアリングを適用してリスクの高いツールを優先的に洗い出せる。さらにMCPトラフィックのデフォルトブロックを含むコンテキストベースのポリシー制御、ノンヒューマン通信（ボット等）の検知、セッションやツールのリクエスト・レスポンスに関するイベントログ記録も可能になる。同社最高製品責任者のジョン・マーティン氏は「MCPは従来のツールでは対処できない新たなセキュリティリスクを生み出している」と述べており、新機能は現在プレビュー提供中で、2026年前半の正式提供を予定している。

今後の展望

MCPとA2Aの役割分担が明確化し、ACPを含む複数の標準が並存する中、CIOにとっての焦点はプロトコル選定そのものよりも、公開MCPサーバーの棚卸しと通信の可視化に移りつつある。CIO誌が指摘する通り、これらのオープンプロトコルは2年以上続いたPoC止まりのAI導入から実運用への移行を後押しする一方、セキュリティ体制の整備が追いつかなければ本番投入のリスクは高まる一方だ。