MCPを理解する：プロトコル以外の制約

F5 ADSP | 2025年6月05日

Model Context Protocol（MCP）は、エージェント型AIエコシステムの中核を担う存在になりつつあります。AIエージェントがツール、API、外部システムと連携するための標準的な手段として設計されており、MCPは、安全でスケーラブルな相互運用性の実現を目指しています。

そのため、主要なモデル開発企業や世界最大級の企業の一部が、エージェント間のやり取りの標準としてMCPを支持する理由は容易に理解できます。しかし、MCPには多くの利点がある一方で、誤った抽象化レベルで、本来とは異なる問題を解決しようとしている可能性があります。

MCPは、固定的な経路とインターフェースによってエージェントの動作を厳しく制約し、安全性を優先します。しかし、その代償として柔軟性や適応性が損なわれ、皮肉にも効果的な監督まで難しくなります。つまり、セキュリティを過度に重視することで、AIエージェントの有用性を制限しかねない一方、動的な環境における実際のリスクにはほとんど対処できていません。

MCPの優れている点

MCPは、AIの安全性を前進させるものです。AIエージェントがAPI経由でツールを呼び出すための明確なインターフェースと権限を定義し、構造化された透明性の高い方法を提供します。ワークフローの開始、資金の移動、コードの記述といった操作をAIエージェントに任せることがますます求められる中、これは重要です。

これは、最小権限アクセスをプロトコルとして実現するものと考えることができます。つまり、エージェントには明示的に許可された操作のみを実行させます。

設計の観点では、すっきりしています。企業リスクの観点では、安心感があります。しかし、現実のセキュリティという観点ではどうでしょうか。十分とは言えません。

トレードオフ：静的なプロトコルと動的なエージェント

MCPは、単純で決定論的なタスクに適しています。しかし、エージェントの能力と自律性が高まるにつれて、その意思決定はより状況に依存するようになります。人間の監督なしで、状況に応じて即座に適応し、複数のツールを新たな方法で連携させ、予期しない状況に対処する必要があります。

そのような環境では、静的なインターフェーススキーマと硬直的な権限構造が機能しなくなり始めます。これらは攻撃対象領域を縮小する一方で、複雑なワークフローを推論するエージェントの能力も低下させます。安全性を優先することで、MCPは意図せずエージェントの運用能力、ひいては企業のイノベーション能力を低下させる可能性があります。

さらに重要なのは、この硬直性によって実際のセキュリティギャップが見えにくくなることです。エージェントがMCPに準拠しているからといって、安全に動作しているとは限りません。たとえば、次のようなケースがあります。

読み取り専用権限を持つエージェントでも、間接的なチャネルを通じてデータを外部に流出させる可能性があります
対象範囲を限定したツール呼び出しであっても、連鎖することで、意図しない結果を伴う、より大規模な創発的アクションにつながる可能性があります
適切に構成されたリクエストであっても、それを行うエージェントが、安全に実行するための適切なコンテキストや判断力を備えているとは限りません

エージェント型AIのセキュリティでは、エージェントに許可されている操作だけでなく、エージェントが何をしようと意図しているか、また状況に応じてどのように振る舞うかも重要です。

真のリスクはプロトコルだけではありません。プロトコルが可能にすることにあります。

MCPは、AIエージェントが権限に基づいて動作するための標準化された仕組みを導入しますが、それによって動作自体の安全性が保証されるわけではありません。プロトコルによって厳格な境界が適用される可能性はありますが、エージェントがコンテキストをどう解釈し、ツールをどう連携させ、プレッシャー下でどう振る舞うかまでは考慮されていません。

つまり、MCPは接続を保護しますが、その結果までは保護しません。企業が埋めるべきギャップは、まさにここにあります。

現実のAIリスクで問題となるのは、エージェントが特定のAPIを呼び出せるかどうかではありません。何千ものやり取りを通じてエージェントがどのような行動を選択するのか、そしてその行動に逸脱の兆候が現れたときに、システムがそれを検知して対応できるかどうかが重要です。