MCP導入前の安全性チェックリスト10項目—ツール実行経路を潰す

2026年夏の技術トレンドは、「LLMの性能比較」から「エージェントをいかに業務で安全に動かすか」へ転換した。その中心がMCP（Model Context Protocol）とツール実行の標準化である。AWSもGoogleも同じタイミングでMCPの話を出している。これは単なる接続仕様の流行ではなく、エージェント運用が本番段階に入ったことを示している。同時に、攻撃面も急速に広がっている。主要なクラウドプロバイダーのコーディングエージェント製品に、モデルを実行しなくてもツールを起動できる脆弱性が見つかった。つまり、エージェントの危険性は「間違った答え」ではなく「誤実行」にあり、セキュリティ境界は推論結果ではなくツール呼び出し面にあるということだ。

ここが従来のAIセキュリティとは全く異なる。LLMの出力品質では判定できない。見るべきなのは実行経路だ。モデルの返答を経由しなくても、APIやWebhook、UIから直接ツールが起動できないか。MCPサーバーの権限が一つにまとめられていないか。失敗時にシステムが安全側に倒れるか。こうした「見えない悪い設計」が、本番で実害を生む。特に監査ログが取れない構成は最悪だ。何が起きたかの事後検証ができず、インシデント対応のコストが跳ね上がる。

Vercelのようなフルスタックフレームワークでは、推論レイヤーとツール実行レイヤーを同じ延長で扱いやすい構造になっている。だからこそ、その境界を明示的に引き直す必要がある。モデルは便利な翻訳機だが、それが「実行権」を持つ大統領ではない。その役割分離を設計段階で決めておかなければ、本番で権限侵奪が起きる。エージェント導入の前に、まずツール実行経路の信頼境界を自分の手で一度描き、それが本当に成立しているかを実測することから始まる。