MCPはエージェンティックAIを柔軟にしますが、同時に攻撃対象にもなります。CISOにとっては、可視性、コントロール、安全なワークフローが信頼性とレジリエンスの鍵となります。
Wanan Wanan – shutterstock.com
Model Context Protocol（MCP）は2024年末に発表されたばかりですが、その技術的影響は多くのアーキテクチャで既に顕著に現れています。開発者がすべてのインターフェースを手作業でプログラムする必要がないよう、MCPはLLエージェント向けの統一された「言語」を提供します。これにより、ツールやデータベース、SaaSサービスを柔軟に組み合わせて利用できるようになります。
サイバーセキュリティ分野におけるMCPの活用例としては、セキュリティインシデントの自動分析があります。ここでは、AIエージェントがシステム内の不審なIPアドレスを調査し、ログデータを解析し、必要に応じて別のインターフェースを通じて影響を受けたデバイスを隔離します。これらすべてが、MCPを介した複数のセキュリティツールの連携によって実現されます。
私は2015年、同僚がファイアウォールのAPIインターフェース用Pythonプレイブックでタイプミスをしたことで、会社のネットワークの半分がダウンしたことを覚えています。あれは厄介でしたが、少なくとも決定論的で追跡可能でした。一方、MCPは確率論的なロジックに従います。エージェントはコンテキストを評価し、確率的な判断を下し、それを実行します。広範な権限を与えたまま任せると、ミリ秒単位で大きな被害が発生し、当時のタイプミスによるシステム障害など比較になりません。このため、MCPセキュリティはITだけの問題ではなく、企業全体に関わる重要な課題なのです。
明確な足跡からデジタルの霧へ
従来のREST APIでは、セキュリティは明確です。すべての呼び出し、認証、入出力ペアが監査ログに記録され、処理の流れを決定論的に追跡できます。しかし、MCPベースのエージェントは最終結果しか示さず、なぜ、誰のプロンプトで、どのツールチェーンでそこに至ったのかは隠されたままです。この「意図」と「実行」の間の死角が、信頼できる脅威モデルを無効にしてしまいます。
本当に安全なエージェンティックワークフローには、テレメトリー、プロンプト履歴、コンテキストインジェクション、ツール選択、エージェントの記憶がリアルタイムで連携することが必要です。この深い可視性がなければ、私たちは自律的な意思決定エンジンの影を追いかけているだけです。問題は「可視性を確保すべきか」ではなく、「どれだけ早く実現するか」です。これができて初めて、MCPはリスクから制御可能な利点へと変わります。
CISOは脅威状況を認識する必要があります。最近のインシデントは、MCPの攻撃面がいかに多様であるかを示しています。「Toxic Agent Flow」では、細工されたGitHub Issue一つで、間接的なプロンプトインジェクションを通じてエージェントがプライベートリポジトリから機密コードをパブリックにコピーすることができてしまいました――まったく気付かれずに。
同時に、研究者たちは任意のシェルコマンドを許可する公開MCPサーバーを数百件発見しました。ネットワークへのアクセス一つで、プロダクションシステムの乗っ取りやエージェントIDの奪取が可能だったのです。さらにサプライチェーンリスクもあります。タイポスクワッティングされたり、後から改ざんされたMCPパッケージが、エージェントを密かに敵対的なインフラに接続し、データ流出やリモートコントロールを可能にします。無害に見えるプロンプトやツールのライブラリでさえ、エージェントが認証情報を漏洩したりデータを削除したりするよう改変されていた例もあります。つまり、攻撃はもはやLLMエージェントだけでなく、エコシステム全体を標的にしているのです。
MCPサーバーを守るための4つの基本柱
CISOはMCPにおいても、サイバーセキュリティの基本原則に大きく依拠できますが、いくつかの点で調整が必要です。単なるチェックリストでは不十分で、明確で原則に基づいたアプローチが求められます。実際には、以下の4つの柱が有効です：
- 強力な認証とクリーンな認証情報管理
静的なトークンや無制限のセッション管理は攻撃者にとって格好の標的です。短命でローテーションされる認証情報や、多要素認証（MFA）の導入が推奨されます。トークンの利用状況を継続的に監視し、漏洩時には自動で鍵を無効化することで被害を最小限に抑えられます。誰がアクセスできるかを明確にしたら、そのアクセスで何ができるかも定義する必要があります。 - 堅牢な入力制御とプロンプトインジェクション対策
プロンプトインジェクションは現実的かつ既に多用されている攻撃手法です。すべての入力は厳格に検証・サニタイズされるべきです。許可／拒否リストや異常なプロンプトパターンの監視も有効です。環境によってはGenAIファイアウォールやプロキシを通じて、既知の攻撃をMCPサーバー到達前に排除することもあります。これにより、データ流出や改ざんによる顧客喪失、法的リスク、イメージダウンを防げます。 - きめ細かな認可とコンテキスト分離
過度に広い権限や不十分なテナント分離は被害範囲を大きくします。MCPシステムは過去にこの点で脆弱性がありました。機密データを接続する前に、最小権限の原則、ロールベースの権限、コンテキストやテナントの厳格な分離など、信頼できる認可ソリューションを導入すべきです。これにより、インシデントが単一のワークフローやユーザーに限定され、全社的な被害を防げます。 - 継続的な監視とAIリテラシーの強化
静的なコントロールだけでは不十分です。すべてのMCPインタラクションのリアルタイム監視、定期的なレッドチームテスト、全部門へのMCPベースAIのリスクと利点に関する教育が標準となるべきです。製品管理から取締役会まで、AIリテラシーの高い人材が今や基本的な防衛線です。その結果、インシデントの早期発見・対応や、AIサプライチェーンの安全性を証明できる強固なセキュリティ体制が構築でき、入札などでも競争優位性となります。
結論：MCPセキュリティはAI時代に不可欠
MCPを巡る最初のセキュリティインシデントは偶然ではなく、CISOに対する警告です。自律型AIエージェントが多くの業務プロセスに組み込まれる時代、MCPのセキュリティ確保は企業への信頼を左右する試金石となります。これを単なる技術問題と片付けず、積極的にMCPのセキュリティ強化に投資する経営層やCレベルのリーダーは、自社を守るだけでなく、AI時代の継続的なイノベーションへの道を切り開くことになるのです。（jm）
ニュースレターを購読する
編集部から直接あなたの受信箱へ
下にメールアドレスを入力して開始してください。