MCP新仕様、最大20万台に脆弱性の恐れ

📑 目次

1. MCPとは何か、新仕様で何が変わったのか
2. 新たに見つかった3つの抜け穴
3. すでにどれだけ晒されているのか
4. ビジネスへの影響 — なぜ他人事ではないのか
5. 今後の対策と展望
6. まとめ
7. 参考・出典

AIの標準規格「MCP」に新しい仕様が登場し、便利になった裏側で新たな抜け穴が3つ見つかった。米メディアVentureBeatの報道によると、攻撃者が会話の中に仕込んだ一文が、そのままログイン情報のように使われてしまう恐れがあるという。すでに世界で12,520件のMCPサーバーが認証なしでインターネットに晒された状態で見つかっており、最大20万台のサーバーが同じ設計上の弱点を抱えている可能性も指摘されている。自社の業務にAIエージェントを組み込んでいる企業ほど、他人事では済まない話だ。

MCPとは何か、新仕様で何が変わったのか

MCP（Model Context Protocol）とは、ChatGPTやClaudeのようなAIエージェントが、チャットの外にあるカレンダーや社内データベース、業務ツールに接続するための共通の接続ルールを指す。AIメーカーのAnthropicが提唱し、業界標準として広く採用されている。以降、この規格を「MCP」と呼ぶ。

2026年7月28日、このMCPの新しい仕様が発表された。主な変更点は3つある。1つ目は、サーバーが会話の途中経過をいちいち覚えておかなくてもよい作り（ステートレスコア）にしたことで、利用者が増えても普段どおりの方法でサーバーを増やして対応できるようになった。2つ目は、パスワードそのものを渡す代わりに「この操作だけを許可する」という一時的な鍵を発行する仕組み（OAuthネイティブ認可）を標準で組み込んだことだ。3つ目は、MCPサーバー側が画面のボタンや入力欄を生成してユーザーに見せる機能（MCP Apps）が加わったことである。

この新仕様への反応は早かった。主要な4つの開発キット（Tier1 SDK）は発表初日から対応し、この4つを合わせると月に約5億回ダウンロードされている。ネットワーク企業Cloudflareのエージェント向け開発キットも初日から対応し、開発ツールを手がけるSentryとLinearはすぐに採用した。TypeScript版・Python版の開発キットはそれぞれ累計10億回を超えてダウンロードされており、MCPがすでに実務で広く使われていることがわかる。

新たに見つかった3つの抜け穴

便利になった一方で、VentureBeatの報道は新仕様に新たな抜け穴が3つあると指摘する。

1つ目は、新機能のMCP Appsを悪用した攻撃だ。攻撃者が仕込んだ悪いプログラムが保存された場所に潜み、後から別の利用者やAIエージェントがその画面を開いた瞬間に勝手に動き出す（ストアドXSS）。ボタンや入力欄という便利な機能そのものが、罠を仕込む器になってしまう。

2つ目は「ハンドル」と呼ばれる合言葉の乗っ取りだ。ハンドルとは、AIエージェントとの会話の中で「さっき開いたあのファイルのことだよ」と話を続けるために使われる、ただの文字列にすぎない。ところが新仕様では、この文字列を知っている人なら誰でも、それを使って操作を続けられてしまう。攻撃者が業務管理ツールJiraのチケットや、ツールからの返信メッセージにこっそり指示文を仕込んでおけば、AIエージェントがそれを読み込んだ瞬間に有効なハンドルを手に入れられる。合言葉が、いつの間にかログインパスワードと同じ重みを持ってしまう格好だ。

3つ目は、監視の目が届きにくくなったことである。これまではネットワークを流れるデータを見張っていれば異常に気づけたが、新仕様では状態の管理がネットワークの層からAIエージェントのアプリの中身の層に移った。そのため、従来型のネットワーク監視ツールでは何かがおかしいと気づきにくくなっている。

すでにどれだけ晒されているのか

抜け穴は理論上の話にとどまらない。セキュリティ企業Censysが2026年4月下旬に行ったスキャンでは、12,520件のMCPサーバーがインターネットに公開された状態で見つかり、しかもログインのための認証が一切設定されていなかった(VentureBeat)。さらにセキュリティ企業OX Securityの調査によると、同じパソコンの中でAIエージェントとツールがやり取りする方式（STDIOトランスポート）に共通する1つの設計上の欠陥のせいで、最大20万台のMCPサーバーが危険にさらされている可能性があるという。

この状況を受けて、米国家安全保障局のAI安全センター（NSA人工知能セキュリティセンター）は2026年5月、MCPが採用される速さに、安全を守る仕組みの整備が追いついていないと警告する報告書を公表した。セキュリティ企業のBackslashやAkamaiも新仕様の危険な範囲を調べた報告を出しており、Microsoftは「ツールの毒性（tool poisoning）」と呼ぶ問題について研究結果を公表している。複数の独立した専門機関が同じ方向の警告を鳴らしている点が重い。

ビジネスへの影響 — なぜ他人事ではないのか

ここが最も重要な点だ。MCPは、AIエージェントに社内のメールやカレンダー、顧客データベースへのアクセスを許可する接続口として使われている。過去には、盗まれたAIのログイン情報を通じて社内のGmailまで筒抜けになった事件も報じられている。今回の抜け穴が悪用されれば、同じような形で顧客情報や社内文書に外部からアクセスされる恐れがある。

AIエージェントに業務を任せる企業が増えるほど、接続口の数も増える。AIエージェントの暴走を止められない企業が5社に1社にのぼるという調査もあり、AIエージェントの管理体制そのものが後手に回っている実情がうかがえる。MCPを使ったサーバーを1つでも立てている企業は、今回の抜け穴が自社にも当てはまるかどうかを点検する必要がある。

今後の対策と展望

VentureBeatの報道は、企業が優先して取るべき対策を挙げている。まず、MCP Appsに対応したサーバーがどれかを洗い出し、生成される画面の中身を審査する方針を決めること。次に、すべてのやり取りを一箇所の入り口（ゲートウェイ）で検査し、そこでOAuthによる認可を必須にすること。そして、ハンドルという合言葉を「信用できない入力」として扱い、使う前に必ず検証すること。加えて、AIエージェントの動きを見張る専用の監視ツールを導入し、実際の業務の流れの中でテストを行うことも求められている。

なお、従来使われてきた一部の機能（ルート・サンプリング・ロギング・HTTPとSSEを組み合わせた通信方式）は、2027年7月28日以降に廃止される予定だ。今のうちに切り替えの計画を立てておく必要がある。

まとめ

MCPの新仕様は、AIエージェントを本格的に業務で使うための土台を整えた一方、便利になった分だけ新しい抜け穴も生んだ。ハンドルという合言葉が認証情報の代わりに悪用されうる以上、AIエージェントに何を任せているかを点検することが、今すぐできる備えになる。

参考・出典

• VentureBeat
• aigeek.biz「盗まれたClaude、社内Gmailまで筒抜けに」
• aigeek.biz「AIエージェント、5社に1社は暴走を止められない」

---