MCP で繋ぐと中身はどこへ行くか
4 分で読む
MCP で社内のデータに繋ぐと聞くと、最初に出る問いは決まっています。「その中身は、どこまで行くのか」。
仕様を読むと、その答えは仕様の中にありません。書いてあるのは、やりとりの形と、実装する側への要請までです。
仕様（2026-07-28 版）の該当箇所を、そのまま読みます。
誰が何を決めているか
仕様が定めているのは、メッセージの形と最初の手順です。中身がどこへ行くかは、繋いだ側の道具が決めます。
仕様が求めていること
| 誰に対して | 何を求めているか |
|---|---|
| 利用者 | すべてのデータ参照と操作について、はっきり同意し、理解していること Model Context Protocol（仕様 2026-07-28・Security and Trust & Safety）原文Users must explicitly consent to and understand all data access and operations出典を開く確認 2026-09-21 |
| 利用者 | 何が共有され、何が実行されるかを、自分で決められる状態を保つこと Model Context Protocol（仕様 2026-07-28・Security and Trust & Safety）原文Users must retain control over what data is shared and what actions are taken出典を開く確認 2026-09-21 |
| 繋ぐ側の道具 | 利用者のデータをサーバーへ渡す前に、はっきりした同意を得ること Model Context Protocol（仕様 2026-07-28・Security and Trust & Safety）原文Hosts must obtain explicit user consent before exposing user data to servers出典を開く確認 2026-09-21 |
| 繋ぐ側の道具 | 同意なく、受け取ったデータを別の場所へ送らないこと Model Context Protocol（仕様 2026-07-28・Security and Trust & Safety）原文Hosts must not transmit resource data elsewhere without user consent出典を開く確認 2026-09-21 |
下 2 行が要点です。守る主体は、仕様そのものではなく、繋ぐ側の道具です。
そして、守られているかどうかを外から確かめる手段は、仕様に書かれていません。プロトコルの上に、その検査は無いということです。
仕様が決めていないこと
| 項目 | 仕様の扱い |
|---|---|
| 認可を付けるか | 任意だと明記されている Model Context Protocol（仕様 2026-07-28・Authorization）原文Authorization is OPTIONAL for MCP implementations.出典を開く確認 2026-09-21 |
| どのモデルに渡すか | 定めなし |
| 受け取った中身を残すか | 定めなし |
| 繋ぎ先をどう選ぶか | 定めなし |
認可が任意だということは、認可の無いサーバーに繋ぐことも仕様の範囲だということです。付けるかどうかは、作る側が決めます。
道具の説明文は信用できないものとして扱う
仕様には、もう 1 つ踏み込んだ記述があります。
| 何について | 仕様が書いていること |
|---|---|
| 誰が道具を呼ぶか | AI（言語モデル）が、文脈の理解と利用者の指示をもとに、道具を見つけて自動で呼べるように作られている Model Context Protocol（仕様 2026-07-28・Tools）原文meaning that the language model can discover and invoke tools automatically based on its contextual understanding and the user’s prompts出典を開く確認 2026-09-23 |
| 道具の一覧 | 繋ぐ側の道具は、使える道具の一覧をサーバーに問い合わせて受け取る Model Context Protocol（仕様 2026-07-28・Tools）原文To discover available tools, clients send a tools/list request.出典を開く確認 2026-09-23 |
| 道具そのもの | 任意のコード実行にあたるので、相応の注意をもって扱わなければならない Model Context Protocol（仕様 2026-07-28・Security and Trust & Safety）原文Tools represent arbitrary code execution and must be treated with appropriate caution.出典を開く確認 2026-09-21 |
| 道具の説明文 | 信用できる提供元から得たものでない限り、信用できないものとして扱う Model Context Protocol（仕様 2026-07-28・Security and Trust & Safety）原文descriptions of tool behavior such as annotations should be considered untrusted, unless obtained from a trusted server出典を開く確認 2026-09-21 |
道具の説明文は、AI エージェントがどの道具を呼ぶかを決めるときに読む文章です。その文章が信用できないということは、繋ぎ先を選ぶこと自体が安全の一部だということになります。
これは仕様の不備ではありません。誰でもサーバーを立てられる設計にした以上、繋ぎ先の選別は利用する側に残ります。
仕様が書いている守り方
仕様は、守り方も書いています。ただし、人の確認と繋ぐ側の道具についての項目は「推奨」（SHOULD）で、「必須」（MUST）と書かれているのはサーバー側の項目です。
| 誰が | 仕様が書いていること | 強さ |
|---|---|---|
| 人 | 安全のために、道具の呼び出しを拒否できる人が、常に間に入っていることを推奨する Model Context Protocol（仕様 2026-07-28・Tools）原文For trust & safety and security, there SHOULD always be a human in the loop with the ability to deny tool invocations.出典を開く確認 2026-09-23 |
推奨 |
| 繋ぐ側の道具 | 大事な操作では、利用者に確認を求める Model Context Protocol（仕様 2026-07-28・Tools / Security Considerations）原文Prompt for user confirmation on sensitive operations出典を開く確認 2026-09-23 |
推奨 |
| 繋ぐ側の道具 | データの意図しない持ち出しを防ぐため、サーバーを呼ぶ前に、道具への入力を利用者に見せる Model Context Protocol（仕様 2026-07-28・Tools / Security Considerations）原文Show tool inputs to the user before calling the server, to avoid malicious or accidental data exfiltration出典を開く確認 2026-09-23 |
推奨 |
| 繋ぐ側の道具 | 道具の結果を、AI（言語モデル）に渡す前に検証する Model Context Protocol（仕様 2026-07-28・Tools / Security Considerations）原文Validate tool results before passing to LLM出典を開く確認 2026-09-23 |
推奨 |
| 認可を付ける場合 | 使う操作に必要な範囲だけを求める（最小権限の原則） Model Context Protocol（仕様 2026-07-28・Authorization）原文MCP clients SHOULD follow the principle of least privilege by requesting only the scopes necessary for their intended operations.出典を開く確認 2026-09-23 |
推奨 |
| サーバー | 道具への入力をすべて検証する。Model Context Protocol（仕様 2026-07-28・Tools / Security Considerations）原文Servers MUST: Validate all tool inputs出典を開く確認 2026-09-23 Model Context Protocol（仕様 2026-07-28・Tools / Security Considerations）原文Implement proper access controls出典を開く確認 2026-09-23 Model Context Protocol（仕様 2026-07-28・Tools / Security Considerations）原文Rate limit tool invocations出典を開く確認 2026-09-23 Model Context Protocol（仕様 2026-07-28・Tools / Security Considerations）原文Sanitize tool outputs出典を開く確認 2026-09-23 |
必須 |
人の確認が「推奨」にとどまっている以上、自動承認を使うかどうかは、使う側の設定で決まります。
実装を数えた調査 — 資格情報の持ち方と、説明文への仕込み
公開されている実装（ソースコード）を数えた調査が 2 本あります。
| 調査 | 分かったこと |
|---|---|
| 5,200 件超 | 88% が資格情報を要し、Astrix Security（2025-10-15・State of MCP Server Security 2025）原文the vast majority of servers (88%) require credentials出典を開く確認 2026-09-23 Astrix Security（2025-10-15・State of MCP Server Security 2025）原文over half (53%) rely on insecure, long-lived static secrets, such as API keys and Personal Access Tokens (PATs)出典を開く確認 2026-09-23 Astrix Security（2025-10-15・State of MCP Server Security 2025）原文are lagging in adoption at just 8.5%出典を開く確認 2026-09-23 |
| 1,899 件 | 5.5% に「道具の説明文への仕込み」 Hasan ほか（arXiv:2506.13538・MCP at First Glance）原文7.2% of servers contain general vulnerabilities, and 5.5% exhibit MCP-specific tool poisoning出典を開く確認 2026-09-23 |
4 節の前提が、実装の中で実際に起きています。原文は調査の詳細に。
だから何を見るか
| 見る対象 | 確かめること |
|---|---|
| 使っている AI クライアント | 同意をどう取るか。同意なしで送らない仕組みがあるか |
| 同じクライアント | 受け取った中身を残すか。残すならどこに、どれだけ |
| 繋ぐ MCP サーバー | 誰が作ったか。認可が付いているか。資格情報を長期の固定キーで持たせていないか |
| 道具の承認 | 書き込みや外への送信をする道具で、呼ぶ前に入力を見て止められるか。自動承認を切れるか |
| 組織の決め方 | 繋ぎ先を誰が選ぶか。勝手に増えない仕組みがあるか |
3 つ目と 4 つ目は、技術ではなく運用の話です。仕様が決めていない部分は、誰かが決めることになります。
聞き方はこうなります。
「このクライアントは、MCP サーバーへ送る前に何を見せて同意を取りますか。受け取った内容はどこかに残りますか。繋ぎ先を追加できるのは誰ですか。」
AI エージェントに MCP サーバーを追加する前に確かめる 7 つと、危険の 4 つのパターン、製品ごとの原文は、MCP サーバーを追加する前に、何を確かめるか にまとめています。
ここから先は調査の詳細です（約 3 分）。上のカードだけで決められます。調べた 1 件ずつの記録は IT連携マップ に、出典 URL と調査日つきで公開しています。
調査の詳細
調べた範囲は、Model Context Protocol の仕様 2026-07-28 版のうち、安全と信頼についての段と、認可の段と、道具の段（安全の考慮を含む）、そして公開されている実装を数えた調査 2 本です。仕様は条文を、調査 2 本は公表された要旨と本文を読みました。動いている個々のサーバーやクライアントに接続して確かめてはいません。保存した原本から原文のまま引いています。調べていないことは、各 AI クライアントが同意をどう取り、受け取った内容をどう扱うかです（これは製品ごとに違い、仕様からは読み取れません。MCP サーバーを追加する側の 4 製品の文書は MCP サーバーを追加する前に、何を確かめるか に置いています）。
| 項目 | 内容 |
|---|---|
| 対象 | Model Context Protocol 仕様 2026-07-28 版、実装を数えた調査 2 本（Astrix Security 2025-10-15、arXiv:2506.13538） |
| 読んだ段 | 仕様は安全と信頼についての原則・認可・道具、調査は要旨と結果 |
| 引用 | 29 本（すべて保存した原本に原文のまま在ることを確認） |
| 確認時期 | 2026 年 9 月 21 日（調査 2 本は 9 月 23 日） |
| 含まれないもの | 動いている個々のクライアントやサーバーへの接続による確認 |
実装を数えた調査 2 本の原文
仕様の外で、公開されているサーバーの実装（ソースコード）を数えた調査が 2 本あります。どちらも動いているサーバーに接続して調べたものではなく、公開されているコードを調べたものです。
| 何を調べたか | 調査が書いていること |
|---|---|
| 資格情報の持ち方（5,200 件超） | オープンソースの MCP サーバーの実装 5,200 件超を、資格情報の扱い方について調べた Astrix Security（2025-10-15・State of MCP Server Security 2025）原文We analyzed over 5,200 unique, open-source Model Context Protocol (MCP) server implementations to understand how they manage credentials出典を開く確認 2026-09-23 |
| 資格情報を要るか | 大半のサーバー（88%）が資格情報を必要とする Astrix Security（2025-10-15・State of MCP Server Security 2025）原文the vast majority of servers (88%) require credentials出典を開く確認 2026-09-23 |
| 何で持っているか | 半数を超える（53%）が、API キーや個人のアクセストークンのような長期の固定の秘密に頼っている Astrix Security（2025-10-15・State of MCP Server Security 2025）原文over half (53%) rely on insecure, long-lived static secrets, such as API keys and Personal Access Tokens (PATs)出典を開く確認 2026-09-23 |
| OAuth | OAuth のような方式の採用は 8.5% にとどまる Astrix Security（2025-10-15・State of MCP Server Security 2025）原文are lagging in adoption at just 8.5%出典を開く確認 2026-09-23 |
| 固定の秘密の性質 | 長く使われ、めったに入れ替えられない Astrix Security（2025-10-15・State of MCP Server Security 2025）原文which are long-lived and rarely rotated出典を開く確認 2026-09-23 |
| どこに置かれるか | API キーの 79% は、単純な環境変数で渡されている Astrix Security（2025-10-15・State of MCP Server Security 2025）原文79% of API keys are passed via simple environment variables.出典を開く確認 2026-09-23 |
| 調査の勧め | すべての繋ぎ先が OAuth に対応しているわけではないが、OAuth がよいやり方とされている Astrix Security（2025-10-15・State of MCP Server Security 2025）原文While not every downstream platform supports OAuth, it’s considered best practice.出典を開く確認 2026-09-23 |
| 健全性と安全性（1,899 件） | オープンソースの MCP サーバー 1,899 件を、健全性・安全性・保守性について評価した Hasan ほか（arXiv:2506.13538・MCP at First Glance）原文we evaluate 1,899 open-source MCP servers to assess their health, security, and maintainability出典を開く確認 2026-09-23 |
| なぜ新しい危険か | AI が流れを決め、毎回同じ動きになるとは限らない MCP の作りが、安全などに新しい危険を持ち込む Hasan ほか（arXiv:2506.13538・MCP at First Glance）原文MCP's AI-driven, non-deterministic control flow introduces new risks to sustainability, security, and maintainability出典を開く確認 2026-09-23 |
| 脆弱性の種類 | 8 種類の脆弱性を特定し、そのうち従来のソフトウェアの脆弱性と重なるのは 3 種類だけだった Hasan ほか（arXiv:2506.13538・MCP at First Glance）原文we identify eight distinct vulnerabilities -- only three of which overlap with traditional software vulnerabilities出典を開く確認 2026-09-23 |
| 説明文への仕込み | 7.2% に一般的な脆弱性があり、5.5% に MCP 特有の「道具の説明文への仕込み」があった Hasan ほか（arXiv:2506.13538・MCP at First Glance）原文7.2% of servers contain general vulnerabilities, and 5.5% exhibit MCP-specific tool poisoning出典を開く確認 2026-09-23 |
| 調査の勧め | MCP の登録簿で、自動の安全検査を回せるようにする Hasan ほか（arXiv:2506.13538・MCP at First Glance）原文enabling automated security scanning within MCP registries出典を開く確認 2026-09-23 |
2 つ目の調査の 5.5% は、上の節の「道具の説明文は信用できないものとして扱う」が、実装の中で実際に起きていることを示しています。
1 つ目の調査の数字は、サーバーが繋ぐ先のサービスへの資格情報をどう持っているかの話です。MCP サーバーの入口に認証が付いているかどうかを数えたものではありません。
仕様の条文には、規格として強制する書き方と、実装する側への要請として書かれたものがあります。ここで引いている安全の原則は後者で、従わなくても仕様に適合しなくなるわけではありません。それが「MCP だから安全」と言えない理由です。
編集部が公開しているサーバーで何を開いて何を閉じたかは、編集部の MCP は何を開き何を閉じるか に置いています。