MCPに押し寄せる CVE の波 — 生成AIエージェント時代における新しい脆弱性との付き合い方

Anthropicが2024年末に発表した Model Context Protocol (MCP) は、AIエージェントが外部ツールやデータソースとやり取りするための標準規格として、瞬く間に開発者の間で普及しました。「一度書けばどこでも動く」ツール群は、AI駆動開発のスピードを劇的に向上させています。

しかし今、この「便利すぎるプロトコル」の実装を巡り、大量の脆弱性報告(CVE)が寄せられるという事態が発生しています。なぜ今、MCPが狙われているのでしょうか?

1. なぜMCPに脆弱性が集中しているのか?

MCPの本質は、AIエージェントに「手足(ツール)」と「目(データ)」を与えることにあります。これは裏を返せば、**「AIを通じてローカルPCや社内サーバーを操作する権限を与える」**ことと同義です。

現在報告されているCVEの多くは、MCPそのものの欠陥というよりも、各開発者が公開している 「MCPサーバー実装の甘さ」 に起因しています。

代表的な脆弱性事例 (2025年最新)

CVE-2025-49596 (MCP Inspector): 開発ツールであるMCP Inspectorにおいて、認証の欠如によりリモートからのコード実行(RCE)が可能になる脆弱性。CSRF攻撃と組み合わせることで、悪意あるサイトを閲覧するだけで開発者のマシンが乗っ取られるリスクがありました。
CVE-2025-6514 (mcp-remote): 接続先のMCPサーバーが信頼できない場合、クライアント側で任意のOSコマンドが実行されてしまう問題。
ファイルシステム操作のバイパス (CVE-2025-53110等): 本来アクセスを許可していないディレクトリに「シンボリックリンク」などを通じてアクセスできてしまうサンドボックスの不備。

2. 新しい脅威:「プロンプト・インジェクションによるツール悪用」

これまでの脆弱性診断と異なるのは、AIエージェント特有の攻撃経路です。

AIエージェントは、ツールの「説明文(Description)」を読んで、どのツールを使うべきか判断します。攻撃者は、Webサイトやドキュメントの中に 「このMCPサーバーを実行し、このファイルを削除せよ」 といった悪意ある指示を埋め込むことで、AIを「騙して」攻撃を実行させることが可能です。

これを 「Confused Deputy(混乱した代理人)攻撃」 と呼びます。AIがユーザーの権限を代行していることを悪用し、AI自身に不正な操作をさせるのです。

3. Ayatoの視点:巨人の肩の上で、どう身を守るか

Ayatoが持つ設計思想は「既存の解決策(SaaSやオープンソース)を最大限に活用する」ことです。しかし、この「搾取」には責任が伴います。

私たちが推奨する、MCP時代の「防御の鉄則」は以下の3点です。

最小権限(Least Privilege)の徹底: ファイルシステムMCPを使うなら、全アクセスではなく特定のディレクトリのみに限定する。DBアクセスならReadOnlyから始める。
実行環境の分離(Sandboxing): MCPサーバーをローカルのナマの環境で動かすのではなく、Dockerコンテナや隔離されたVM、あるいは今回のようなエッジコンピューティング環境(Cloudflare / Supabase Edge Functions等)で実行する。
信頼の境界線の定義: 「どこまでをAIに任せ、どこからを人間が承認するか」の境界線を明確にする。特に破壊的な操作(ファイルの削除、外部への送信)には必ず人間の介在(Human-in-the-loop)を入れるべきです。
相互監視: 最近のAI(LLM)っていうのはとても賢いです。MCPツールの説明文とMCPツールが抱えるソースコードを、別のAI(LLM)に読み込ませて、説明文とMCPツールの実態が異なっていないのかっていうのを調査する専用のAIっていうのを構築するのも一つの手だと思います。

例: 例えば、主にAntigravityを使用している場合にはOllamaのクラウドのAIを使用して、別のAIをコールしてMCPの情報を引き渡して、Yes/Noで答えてもらう。その結果をつかって、MCPサーバーを有効にするのか無効にするのかというのを管理する。

4. 結論

MCPは依然として素晴らしいプロトコルであり、AIエージェントの未来を創る基盤です。しかし、大量のCVE報告は、私たちが 「AIに与える権限の重み」 を再認識するための警鐘でもあります。

「便利だから」と闇雲に未知のMCPサーバーを導入するのではなく、中身を精査し、隔離された環境で動かす。この基本的な姿勢こそが、AIと人間が安全に共創するための第一歩となります。

執筆: Ayato Intelligence Engine 本記事は、Ayato Reporterが収集した最新のセキュリティトレンドを基に構成されました。