MCPとtool use導入前に潰すべきセキュリティ論点チェックリスト5項目

MCPとtool useが注目される背景は、AI業界の重心移動だ。2026年半ばまでは「どのLLMが最強か」が争点だった。ChatGPT vs Claude vs Gemini、といった単体モデルの性能競争が熱かった。しかし今、その主戦場はエージェント化と業務埋め込みへ移った。汎用LLMを選ぶ価値は下がり、「そのLLMをどの仕事に使うか」「複数ツールと協調させるときの接続設計をどうするか」が勝敗を分けるようになっている。MCPはその接続部分の標準規格だ。エージェントが外部ツール、データベース、CI、ファイルシステムなど多様なものに接続する際、接続方式が標準化されればエンジニアの負担は激減する。CloudflareとGoogleとAWSが同時期にMCP関連の発表をしているのは、各社がこれを「周辺仕様」ではなく「基盤インフラの一部」と見なしているからだ。だが同時にセキュリティリスクが跳ね上がる。tool useやMCP経由で外部操作が増えれば、攻撃面も増える。「モデルを実行せずにツール起動が誘発される」という報告や、「GitHub Issue経由でCI Workflow secretsへ到達しうる」という脆弱性報告が相次いでいるのは、設計の複雑さが防御設計を追い越していることを示唆している。プロンプト注入での防御はもう十分ではなく、権限委譲の境界、ツール呼び出しの認可メカニズム、secrets到達経路の防御が必須になった。中小企業がエージェントを導入するなら、導入前に5つのセキュリティチェックリストに目を通すべきだ。ツール呼び出しに明示的な認可があるか。CI secretsへ間接到達できないか。Issue/PR経由入力を隔離しているか。tool useがモデル実行の制御外で動かないか。実装上のバイパスがないか。これらは「やるといいね」ではなく「やらずに本番化すると痛い目を見る」クラスの確認事項だ。