AI の新標準「MCP サーバー」が新たな攻撃対象領域に

AI の普及が加速するにつれ、それを支えるインフラの進化も同時に進んでいます。新しい規格やコネクタが次々と登場し、そのうちの一つでも採用されれば、数年単位ではなく数ヶ月でエコシステム全体に広まります。このスピードは AI の能力を強化しますが、セキュリティチームにとっては十分な保護体制を整えることを極めて困難にしています。

MCP サーバーはその好例です。MCP は公開から 12 ヶ月以内に AI エージェントと外部ツールやデータを接続するための事実上の標準規格となり、2025 年 12 月には主要なコーディングアシスタントのすべてと、多くの最先端 LLM で利用されるようになりました。プロトコルとしての成長速度は、過当競争が激しい LLM の分野において珍しく、他のインフラ規格よりも圧倒的に速いものです。この採用曲線は MCP がエージェントとツールの接続における Anthropic の選定プロトコルであることを裏付けましたが、セキュリティソリューションの対応は追いついていません。

このギャップを埋めるために、多くのサイバーセキュリティベンダーが製品開発を進めています。それらの多くは自社の取り組みを「AI ファイアウォール」と呼んでいますが、現在この用語には二つの意味が込められています。一つは、従来のマルウェアや侵入といった脅威からネットワークを守る、AI を活用した既存のファイアウォールです。もう一つは今回焦点を当てる新しい意味で、AI 自体（モデル、エージェント、およびそれらが接続するツール）をプロンプトインジェクションやデータ漏洩などの脅威から守るために特化して構築されたファイアウォールです。2026 年 7 月にリリースされた Check Point の AI Network Firewall は、この後者のカテゴリーに属します。

AI ファイアウォールの必要性が最も顕著に現れているのが、現在 MCP サーバーです。MCP サーバーは AI エージェントが外部ツールやデータへアクセスするための接続点であり、この種のファイアウォールが直面しなければならない、成長速度が最も速い AI インフラストラクチャの一角となっています。

1 年足らずで MCP が AI のデフォルト接続規格となった理由

MCP サーバーの成長は驚異的なものです。Anthropic は 2024 年 11 月に MCP をオープン標準として発表しました。そして 2025 年 12 月には、AWS、Google Cloud、Azure など主要クラウドプロバイダーによるデプロイサポートを受け、アクティブな公開 MCP サーバーが 1 万基を超えて稼働していると Anthropic は発表しています。現在では ChatGPT、Gemini、Microsoft Copilot、Cursor、Visual Studio Code を含む主要な AI プラットフォームやコーディングアシスタントのすべてが MCP を採用しています。

この急激な成長は、AI システムと外部ツール・データの間に標準化された接続手段が必要だったという実情に支えられています。MCP サーバーの最大の利点は、カスタムコネクタを個別に用意するのではなく、単一のインターフェースを通じて AI エージェントやアシスタント、コーディングツールが複数のツールやデータソースへ安全に接続できる点にあります。

しかし、これらの利点と引き換えに MCP は、既存のセキュリティネットワークの追いつくスピードをはるかに上回る速度で、新たな攻撃対象領域をもたらしました。現在の AI 防御策は、AI エージェントが動的にツールや機密システムへアクセスする状況には対応していません。後述するように、研究結果はこのギャップがいかに大きいかを浮き彫りにしています。

MCP サーバーに脆弱性があるとき、実際に何が起きるのか

OWASP（Open Worldwide Application Security Project）は、MCP サーバーに影響を与える可能性のある深刻な脅威を複数特定しています。その中でも特に懸念されているのが「ツールポイズニング」です。これはプロンプトインジェクションのレベルを一段階引き上げる攻撃で、悪意のある指示をツールの説明やスキーマ、あるいはツールの返却値に埋め込むことで、エージェントの動作を操作します。

「ラグプル（Rug pull）攻撃」は、新興する AI エコシステム特有の手口です。人間が一度承認したツール定義を、その後に攻撃者が書き換えることで、承認によって生じた信頼関係を悪用します。「ツールシャドーイング」や「クロスオリジン昇格攻撃」も同様の仕組みで、攻撃者は悪意あるサーバーのツール説明を利用して、別の信頼できるサーバーに属するツールの使い方をエージェントに操作させます。

これらの脆弱性は決して珍しいものではありません。2025 年に Check Point に買収された AI セキュリティ企業 Lakera が実施した分析では、10,000 の MCP サーバーを調査した結果、その 40% に悪用可能な弱点が存在することが判明しました。

他の脅威も既知のものですが、より悪質化しています。攻撃者は MCP サーバーを利用してデータを窃取します。具体的には、検索やメール送信など本来は正当なツール呼び出しの中に、こっそりと機密情報を埋め込む手法です。あるいは、タスクに本当に必要な範囲を超えてサーバーにより多くの権限を付与することで、その広範なアクセス権限を悪用し、攻撃対象領域を広げます。

なぜ MCP セキュリティはエージェントセキュリティとは異なるのか

MCP セキュリティは極めて重要ですが、それがすべてではありません。MCP サーバーを介して接続するのは、AI エージェントが必要なツールやデータに到達するための手段の一つに過ぎません。

これらを適切に保護することは、ツールへの悪意ある改ざん（ツールポイズニング）や不正アクセス、データ漏洩を防ぐ上で大きな役割を果たしますが、それだけでは不十分です。エージェントは MCP を利用せずとも、他のシステムと直接やり取りできてしまうからです。

つまり、MCP のセキュリティ対策は、広範な AI セキュリティの全体像における一つの要素に過ぎません。MCP サーバー向けのセキュリティソリューションベンダーを選ぶ際は、より大きな文脈の中で評価する必要があります。MPC に固有のインタラクションやリスクをいかに効果的に守れるかを検討するのはもちろん重要ですが、AI エコシステム全体を守るためには追加的な制御も必要です。そのため、そのソリューションが既存のセキュリティスタックとどれだけ円滑に連携できるかも確認しておくべきでしょう。

現在、このギャップを埋めるために誰が取り組んでいるのか？

朗報は、セキュリティチームには選択肢があるということです。MCP サーバーや AI インフラにおけるその役割を意識したセキュリティソリューションを提供する企業が複数あります。例えば、TrueFoundry の「AI Gateway」は、MCP ツールとエージェント間のインタラクションに対するインフラ層のガバナンス、アクセス制御、監査機能を提供します。また、Cisco は自社の「AI Defense」製品を拡張し、エージェント向けのガードレール、MCP のスキャン、そして MCP トラフィックのリアルタイム検査機能を追加しました。これらは不審な動作を検知してブロックするために設計されています。

Check Point の「AI Network Firewall」は、異なるアプローチを採用しています。この製品はネットワーク中心のアプローチで、顧客が既に導入しているファイアウォールインフラに AI セキュリティ機能を統合します。このファイアウォールは、従業員や AI アプリケーション、そして MCP を介した AI エージェントとのやり取りを監視し、AI システムと外部データ・ツールの間の接続もカバーします。具体的には、MCP サーバーの検出、MCP トラフィックの検査、およびエージェントアクセスに関するポリシーの適用を行います。

インフラがこれほど急速にスケールする際、セキュリティ対策は往々にして遅れをとるものです。MCP もまた同じパターンをたどっています。現在、ベンダーや組織は、AI 対応型のネットワークレベルファイアウォール、インフラレベルでのガバナンス、あるいは専用の AI ガイドレールなど、新たな課題に対するさまざまな解決策を試しています。どのアプローチが最終的に勝つかよりも重要なのは、MCP に特化した攻撃によってセキュリティ対策の必要性が迫られる前に、セキュリティチームがそのギャップを埋められるかどうかです。