MCP サーバーを追加する前に、何を確かめるか
4 分で読む
MCP で繋ぐと中身はどこへ行くか では、仕様が中身の送り先を決めていないことを見ました。ここでは、その MCP サーバーを AI エージェントに追加する前に、何を確かめるかをまとめます。
MCP サーバーは、Claude Code・Claude・Codex・Antigravity などのエージェントに「追加」して使います。追加は数行の設定で済み、エージェントが代わりに追加することもあります。追加した時点で、そのサーバーの道具と説明文がエージェントの手の届く所に入ります。
3 つの問いへの答え
| 問い | 答え |
|---|---|
| 追加して安全か | 接続しただけで漏洩するわけではありません。ただ、仕様は認可を任意とし（仕様が決めていないこと）、人の確認も「推奨」（SHOULD）にとどめています（仕様が書いている守り方）。安全かどうかは、何を追加し、どこまで自動承認で動かすかで決まります |
| サーバーを信用してよいか | 信用は前提ではなく、確かめてから与えるものです。仕様は道具の説明文を、信用できるサーバーから得たものでない限り信用できないものとして扱うよう書いています（説明文は信用できない）。Anthropic も、信用できる組織のサーバーだけに接続するよう書いています Claude MCP サーバーを追加するときの注意 。サーバーのコードに欠陥が無くても、サーバーが運んでくる文章でエージェントが乗っ取られた事例もあります（MCP の道具で実際に起きたこと） |
| 何を確かめるか | 3 節の 7 つです |
危険は 4 つのパターンに分かれる
仕様、報告された事例 2 件、実装を数えた調査 2 本を並べると、危険は次の 4 つに分かれます。この分け方は原文の言葉ではなく、並べた結果の整理です。
| パターン | 何が起きるか | どこに現れたか |
|---|---|---|
| A. ツールポイズニング | AI エージェントが道具を選ぶときに読む説明文に、指示が仕込まれる | 仕様・実装の調査（5.5%） |
| B. 間接プロンプトインジェクション | AI エージェントが、外部第三者の書き込み（issue・処理した内容）の中の指示に従う | 事例 2 件 |
| C. 過剰な権限・有効期間の長いキー | 乗っ取られたときや漏洩したときの被害が大きく、止めにくい | 事例 2 件・実装の調査（53%） |
| D. 自動承認（人が間に入らない） | A・B の指示が、そのまま実行される | 仕様（人の確認は「推奨」）・Amazon MQ の事例 |
A と B は AI エージェントが乗っ取られる入口、C と D は乗っ取られたときの被害の大きさです。入口は、AI エージェントに外部第三者の書き込みを読ませる限り、サーバーを直すだけでは塞ぎきれません。利用者が手を打てるのは、入口を減らすこと（下の 1・2）と、C を絞って D を残すこと（3〜7）です。
報告された 2 件は、どちらも入口と権限の掛け算でした。GitHub の事例は、公開 issue（B）× 非公開リポジトリにも届く権限（C）。Amazon MQ の事例は、処理した内容（B）× ブローカーの資格情報（C）で、修正版を入れるまでの暫定策は、該当する道具に自動承認を使わないこと（D を残すこと）でした（MCP の道具で実際に起きたこと）。
追加する前に確かめる 7 つ
| # | 確かめること | 防ぐパターン |
|---|---|---|
| 1 | 誰が作ったサーバーか。自分で作ったか、信用できる提供元のものか。修正版が出ることがあるので、版が最新かも | A |
| 2 | issue・Web・PDF・メールなど、外部第三者の書き込みを読むサーバーか。読むなら、読ませる範囲を決めてから追加する | B |
| 3 | どの範囲に追加するか（自分だけ・プロジェクトで共有・すべて）。範囲が広いほど、知らないうちに使われる場面が増える | C |
| 4 | 使わない道具を外し、接続先で求める権限も必要な範囲だけにしたか（最小権限） | C |
| 5 | キーやトークンがどこに保存され、漏洩したときにすぐ取り消せるか。有効期間の長い固定のキーを渡していないか | C |
| 6 | 承認の既定はどうなっているか。「常に許可」は、無人で動かしてよい道具だけにする。書き込みや外への送信をする道具は、人の確認を残す | D |
| 7 | 承認の画面が出ない動かし方（Claude Code の claude -p・SDK・クラウドなど）で使うか。使うなら、何が読み込まれるかを先に確かめる |
D |
接続する先の業務システムが、公式の MCP サーバーを出しているかも確かめる点です。どのシステムが出しているかは 自社システムに MCP は要るか と各システムのページにあり、例は調査の詳細に並べました。
製品ごとに、どこで確かめるかの原文は調査の詳細に並べました。
聞き方はこうなります。サーバーの提供元や社内の担当者に聞く形です。
「この MCP サーバーは誰が作り、どの権限で業務システムに接続しますか。キーはいつ切れ、どう取り消せますか。書き込みの前に人が確かめる設定にできますか。AI エージェントに読ませる情報は、外部第三者が書き込める場所から来ていませんか。」
ここから先は調査の詳細です（約 5 分）。上のカードだけで決められます。調べた 1 件ずつの記録は IT連携マップ に、出典 URL と調査日つきで公開しています。
調査の詳細
調べた範囲は、MCP サーバーを追加する側の 4 製品（Claude Code・Claude・Codex・Antigravity）の提供元の文書です。仕様の条文、事例の報告、実装を数えた調査は、それぞれ MCP で繋ぐと中身はどこへ行くか と 間接プロンプトインジェクション に原文つきで置いています。4 製品の文書は、各製品のページの「MCP サーバーを追加するときの注意」に原文のまま置き、ここから引いています。動いている個々のサーバーやエージェントに接続して、書かれた承認の仕組みがそのとおり動くかは確かめていません。
| 項目 | 内容 |
|---|---|
| 対象 | Claude Code・Claude（アプリのカスタムコネクタ）・Codex・Antigravity の MCP とセキュリティの文書 |
| 引用 | 各製品のページにある原文を引く（すべて保存した原本に原文のまま在ることを確認） |
| 確認時期 | 2026 年 9 月 23 日 |
| 含まれないもの | 動いている個々のサーバーやエージェントへの接続による確認、4 製品以外の製品 |
製品ごとの原文 — どこで確かめるか
Claude Code
| 確かめること | 提供元の文書が書いていること |
|---|---|
| 1・2 提供元・外の内容 | 繋ぐ前に、各サーバーを信用できるか確かめる。外の内容を取ってくるサーバーは、プロンプトの注入の危険を持ち込みうる。自分で書いたサーバーか、信用できる提供元のサーバーを使うよう勧める。Anthropic は一覧に載せる前にコネクタを基準に照らして審査するが、MCP サーバーのセキュリティ監査も管理もしない Claude Code MCP サーバーを追加するときの注意 |
| 3 追加する範囲 | 範囲（scope）で、どのプロジェクトで読み込まれ、チームと共有されるかが決まる。既定の範囲は、追加したプロジェクトだけ・自分だけ Claude Code MCP サーバーを追加するときの注意 |
| 4・6・7 絞る・承認 | プロジェクト共有の設定（.mcp.json）のサーバーは、対話の中で使う前に承認を求める。ただし claude -p・Agent SDK・クラウドでは承認を聞かずに読み込む。複製したリポジトリが自分のサーバーを承認することはできない。MCP サーバーごとに権限を設定できる Claude Code MCP サーバーを追加するときの注意 |
Claude（アプリのカスタムコネクタ）
| 確かめること | 提供元の文書が書いていること |
|---|---|
| 1・2 提供元 | 信用できる組織やアプリが作り、動かしているサーバーにだけ繋ぐ。悪意ある MCP サーバーは、Claude に意図しない動作をさせる隠れた指示を含みうる Claude MCP サーバーを追加するときの注意 |
| 4・6 権限・承認 | 「常に許可」は、無人で動かしてよいと信用できるサーバーと道具にだけ押す。認証の時にサーバーが求める権限を確かめ、できるだけ範囲を絞り、不要な権限なら拒否する Claude MCP サーバーを追加するときの注意 |
| 5 取り消し | コネクタを外せば、いつでも権限を取り消せる Claude MCP サーバーを追加するときの注意 |
Codex
| 確かめること | 提供元の文書が書いていること |
|---|---|
| 1 サーバーの説明 | サーバーが最初のやりとりで返す説明（instructions）を読み、道具と並べてサーバー全体の指針として使う Codex（OpenAI） MCP サーバーを追加するときの注意 |
| 3 追加する範囲 | 設定は config.toml に置く。プロジェクト単位の設定は、信用したプロジェクトだけで効く Codex（OpenAI） MCP サーバーを追加するときの注意 |
| 4・6 絞る・承認 | 道具の許可リストと拒否リスト。サーバーごとに承認の既定を決められる Codex（OpenAI） MCP サーバーを追加するときの注意 |
Codex の 1 行目が示すのは、サーバーの作り手が書いた文章が、道具の説明文に加えて、エージェントの指針としても読まれるということです。パターン A の入口は、説明文だけではありません。
Antigravity
| 確かめること | 提供元の文書が書いていること |
|---|---|
| 3 追加する範囲 | 全体の設定は ~/.gemini/config/mcp_config.json、作業場所ごとは .agents/mcp_config.json Antigravity（Google） MCP サーバーを追加するときの注意 |
| 4・6 絞る・承認 | 設定していない MCP の道具は、既定で確認（Ask）の扱いになり、実行の前に承認を求める Antigravity（Google） MCP サーバーを追加するときの注意 。道具単位・サーバー単位で許可できる Antigravity（Google） MCP サーバーを追加するときの注意 |
| 5 キーの置き場所 | アクセストークンは ~/.gemini/antigravity/mcp_oauth_tokens.json に保存される。ヘッダーに固定のトークンを書く設定例もある Antigravity（Google） MCP サーバーを追加するときの注意 |
追加の操作そのものを、エージェントが代わりにすることもあります。編集部が 2026-09-08 に試したところ、Antigravity は会話で「この URL の MCP サーバに繋いで」と頼むと、自分で設定ファイルを書き換えて接続まで済ませました（自社システムに MCP は要るか）。何が追加されたかを、設定ファイルで確かめる習慣が要ります。
一覧 — 製品 × 確かめる 7 つ
上の原文を、3 節の 7 つに当てはめて並べると次のとおりです。
| # | 確かめること | Claude Code | Claude | Codex | Antigravity |
|---|---|---|---|---|---|
| 1 | 提供元と版 | 信用できる提供元を勧める | 信用できる組織だけ | サーバーの説明も指針になる | — |
| 2 | 外部第三者の書き込みを読むか | 外の内容を取るサーバーはプロンプトの注入の危険 | 悪意あるサーバーの隠れた指示 | — | — |
| 3 | 追加する範囲 | 範囲（scope） | — | プロジェクトの設定は信用したものだけ | 全体／作業場所 |
| 4 | 道具と権限を最小に | サーバーごとの権限 | 求める権限を絞る | 許可リスト／拒否リスト | 道具・サーバー単位で許可 |
| 5 | キーの置き場所と取り消し方 | — | 外せば取り消せる | — | トークンの保存場所・ヘッダーの固定トークン |
| 6 | 承認の既定・「常に許可」 | .mcp.json は承認を求める |
「常に許可」は無人で動かしてよい道具だけ | サーバーごとに承認の既定 | 既定は確認（Ask） |
| 7 | 承認が出ない動かし方 | claude -p・SDK・クラウドは承認を聞かずに読み込む |
— | — | — |
「—」は、その製品の文書から、この点について引いていないという意味です。無いという意味ではありません。
公式の MCP サーバーを出している業務システムの例
| システム | 提供元が書いていること |
|---|---|
| kintone | サイボウズが OSS として出している公式のローカル MCP サーバー kintone MCP 対応 |
| Garoon | サイボウズが OSS として出している公式のローカル MCP サーバー Garoon MCP 対応 |
| freee会計 | freee の各サービスを AI エージェントから操作できるようにする公式の MCP サーバー freee会計 MCP 対応 |
| マネーフォワード クラウド会計 | AI エージェントとクラウド会計をつなぐ MCP サーバー。リモート型で、接続の設定だけで使える マネーフォワード クラウド会計 MCP 対応 |
| Salesforce Platform | Salesforce が動かす MCP サーバー（Hosted MCP Servers） Salesforce Platform MCP 対応 |
| Notion | Notion が動かすリモートの MCP サーバー Notion MCP 対応 |
| Shopify | ストアの商品・カート・規約に接続する MCP サーバー Shopify MCP 対応 |
業務システム 56 件のうち何件が MCP サーバーを出しているかは、自社システムに MCP は要るか にまとめています。
編集部が公開しているサーバーで何を開いて何を閉じたかは、編集部の MCP は何を開き何を閉じるか に置いています。
この記事に登場するシステム（7）
GaroonNotionSalesforce PlatformShopifyfreee会計kintoneマネーフォワード クラウド会計