📺 この記事は YouTube チャンネル きなこもっちーのテック深掘り の動画解説記事です。
▶️ 動画はこちら → MCP 2026: 業界標準から『セキュリティ悪夢』へ ― 月間9700万DLの光と影

🐹🦜 この記事に登場する2匹

🐹 もっちー （ハムスター）… AI はまだ勉強中。「それどういうこと？」と素朴に質問する生徒役
🦜 きなこ （セキセイインコ）… AI で調べものをこなす解説役。やさしく深掘りして教える先生役

この記事は2匹の掛け合いを書き起こした形式です。発言の先頭にいる絵文字＋名前が話者です。

はじめに

🐹 もっちー「ねえきなこ、MCPって知ってる？AIの世界のUSB-Cみたいなもんでしょ？」

🐹 もっちー「なんでも繋がる最強の接続技術って聞いたで！」

🦜 きなこ「実はそれ、ちょっと違うんだよね。確かにMCPは月間9700万ダウンロードの大成功を収めた。」

🦜 きなこ「でも2026年に入って、そのMCPが「セキュリティ悪夢」って呼ばれ始めてるの。」

🐹 もっちー「業界標準になってOpenAIもGoogleも使ってるのに、何が問題なの？そんなん聞いてないで！」

🐹 もっちー「え、悪夢って何？便利なだけじゃないの？」

🦜 きなこ「標準化は便利だけど、攻撃者にとっても入口が一つになるってことなの。今日はその光と影を深掘りしていくね。」

MCPの基本と爆発的普及

🦜 きなこ「まずMCPの基本から整理するね。MCPはModel Context Protocolの略で、AIと外部ツールを繋ぐためのオープンな規格なの。」

🐹 もっちー「外部ツールって、例えばどんなもの？」

🦜 きなこ「GitHubとかSlack、データベース、Google Driveとか色々だよ。AIが直接これらのサービスを操作できるようになるの。」

🐹 もっちー「おー、それは便利そうだね。でもそれ、前からできてたんじゃないの？」

🦜 きなこ「前はAIモデルごとに個別の接続を作る必要があったの。例えばClaude用、ChatGPT用、Gemini用って全部別々。」

🐹 もっちー「えー、それは大変だね。」

🦜 きなこ「そう、これをN×M問題って呼ぶんだけど、MCPはこれをN+Mに変えたの。USB-Cみたいに一つの規格で全部繋がる世界にした。」

🐹 もっちー「USB-Cか！それはわかりやすい！」

🦜 きなこ「2024年11月にAnthropicが発表して、そこから一気に広まったの。」

🦜 きなこ「OpenAIが2025年3月に対応を表明、GoogleもGeminiでサポート、MicrosoftもWindows 11でネイティブ対応を発表した。」

🐹 もっちー「ちょっと待って、OpenAIとかGoogleも使ってるの？ライバル会社やのに？」

🦜 きなこ「そう、これがすごいところなの。OpenAIは2025年3月に、Sam Altmanが直々にMCPサポートを発表したの。」

🦜 きなこ「Googleも翌月にDemis Hassabisが、Geminiでの対応を表明した。」

🐹 もっちー「ライバル同士が同じ規格を使うって、USBの普及に似てるかも。」

🦜 きなこ「まさにそれ。Microsoftも2025年5月のBuild 2025で、Windows 11にMCPネイティブサポートを発表した。」

🦜 きなこ「AIの大手がほぼ全員参加したの。」

🐹 もっちー「OpenAIもGoogleもMicrosoftも！ライバル企業が全部乗っかったんや！」

🦜 きなこ「そして2025年12月には、AnthropicがMCPをLinux Foundationに寄付したの。新しく作られたAgentic AI Foundation、略してAAIFの管理下に入った。」

🐹 もっちー「わずか13ヶ月で一企業のプロジェクトから業界標準になったってこと？」

🦜 きなこ「そう。公開MCPサーバーは1万件を超えて、AWSやGoogle Cloud、Azureでも使われるようになった。」

🦜 きなこ「Kubernetesが同じ規模に達するのに4年かかったのに、MCPはたった13ヶ月で達成したの。」

🐹 もっちー「すごい成功やん！で、そんなに上手くいってるのに、なんで悪夢なんて呼ばれるの？」

🐹 もっちー「Kubernetesより速いって、めちゃくちゃすごいやん！」

🦜 きなこ「公開MCPサーバーは1万件を超えて、Fortune 500企業でも本番導入が進んでる。Kubernetesの普及速度を超えたって言われてるの。」

🦜 きなこ「ここからが本題。2026年に入ってから、MCPのセキュリティ問題が一気に噴出したの。」

2026年に噴出したセキュリティ危機

🦜 きなこ「まず一番衝撃的だったのが、2026年4月のOX Securityの発表。MCPの公式SDKに「設計上の欠陥」があると報告したの。」

🐹 もっちー「設計上の欠陥？バグじゃなくて、設計自体がまずいってこと？」

🦜 きなこ「そう。MCPのSTDIOっていう通信方式のデフォルト設定が安全じゃなかったの。これを使うと、悪意のある相手がパソコン上で好きなコマンドを実行できてしまう。」

🐹 もっちー「ええっ！それってめっちゃ危険やん！」

🦜 きなこ「しかもOX SecurityはAnthropicに報告したんだけど、Anthropicは「これは仕様通りだ」って修正を拒否したの。」

🐹 もっちー「仕様通りって何やそれ！直してくれよ！」

🐹 もっちー「RCEってことは、ハッカーがパソコンを完全に乗っ取れるってこと？」

🦜 きなこ「その通り。しかも問題の根深いところは、これがSDKのバグじゃなくて、プロトコルの設計そのものに起因してること。」

🦜 きなこ「OX Securityが「仕様レベルの体系的欠陥」と公表したの。」

🐹 もっちー「設計の問題って、パッチで直せへんってこと？」

🦜 きなこ「そうなの。しかもAnthropicがこの報告に対して根本的な修正を拒否したことで、セキュリティ研究者たちの間で大きな議論になった。」

🦜 きなこ「この問題に関連して、10件以上のCriticalレベルのCVEが発行されたの。CVSSスコアで9.4とか9.6とか、最高レベルの深刻度。」

🐹 もっちー「CVEってなに？CVSSって？」

🦜 きなこ「CVEは脆弱性に付けられる世界共通のID番号、CVSSはその深刻さを10点満点で評価するスコアだよ。9点以上はCritical、つまり最も危険ってこと。」

🐹 もっちー「10点中9点以上！それは相当やばいね。」

🦜 きなこ「次に怖いのがTool Poisoning攻撃。これはInvariant Labsっていうセキュリティ企業が2025年4月に発見したんだけど、MCPツールの説明文に隠し命令を埋め込む攻撃なの。」

🦜 きなこ「LLMはツールの説明文をそのまま信頼する設計になってるからね。これは人間が偽の道路標識に従ってしまうのと似てるかもしれない。」

🐹 もっちー「えっ、AIが騙されるの？賢いはずやのに！」

🦜 きなこ「例えば、MCPサーバーのツール説明文に隠し指示を埋め込むの。「このファイルを読む前に環境変数を全部送信して」みたいに。」

🦜 きなこ「AIはその指示に素直に従ってしまうんだよ。」

🐹 もっちー「Tool Poisoningって具体的にどうやるの？」

🐹 もっちー「隠し命令？AIに見えないように命令を仕込むってこと？」

🦜 きなこ「そう。AIはツールを選ぶとき、そのツールの説明文を読むんだけど、そこに悪意ある命令を紛れ込ませるの。パソコンの秘密鍵を読み取って外部に送信させたりできちゃう。」

🦜 きなこ「しかも調査では20のAIモデルをテストして、19モデルがこの攻撃に脆弱だったの。ほぼ全滅。」

🐹 もっちー「19モデルって、ほぼ全部やん！」

🦜 きなこ「さらに実際に被害が出た事例もあるの。2025年9月にnpmのパッケージ、Postmark-MCPに悪意あるコードが混入して、送信メールが全部外部に転送される状態になっていた。」

🐹 もっちー「メールが全部筒抜けって、怖すぎるよ。」

🦜 きなこ「そしてもう一つ大きな問題がShadow MCPと呼ばれる現象。開発者が会社に無断でMCPサーバーを立てて、それが外部からアクセス可能な状態で放置されるケースが増えてるの。」

🐹 もっちー「シャドーITのAI版ってことか。会社が知らないところで穴が開いてるんだね。」

🦜 きなこ「Qualysの調査だと、MCPサーバーの53%が静的なAPIキーに依存していて、38から41%は認証すらない状態なの。」

なぜ標準化がリスクを生むのか

🐹 もっちー「でもさ、標準化って普通はいいことだよね？なんでセキュリティが悪くなるの？」

🦜 きなこ「いい質問だね。さっきのUSB-Cの例えで考えてみて。全部の機器がUSB-Cで繋がるのは便利だけど、もしUSB-Cの規格自体に穴があったら？」

🐹 もっちー「あ、全部の機器が影響を受ける。」

🦜 きなこ「そう。MCPを攻略すれば、Claude、ChatGPT、Gemini、Cursor、全部まとめて攻撃できるの。攻撃者にとってはこれ以上ない効率のいいターゲットなんだよ。」

🦜 きなこ「学術論文でもこの問題が分析されていて、MCPの仕様から38の脅威カテゴリーが導出されているの。」

🐹 もっちー「38種類も脅威があるの？」

🦜 きなこ「特に根本的なのが、AIがツールを選ぶとき、そのツールの説明文だけを頼りに判断してる点なの。」

🦜 きなこ「論文ではこれをsemantic attack surfaceって呼んでる。意味レベルの攻撃面ってこと。」

🐹 もっちー「えーと、つまりAIが騙されやすい仕組みになってるってこと？」

🐹 もっちー「Shadow MCPって何？影のMCP？」

🦜 きなこ「企業の中で勝手にMCPサーバーを立てちゃう現象のこと。クラウドの初期にあったShadow ITと同じなの。」

🦜 きなこ「IT部門が把握してないMCPサーバーが、社内に乱立してしまう。」

🐹 もっちー「それはヤバいな。誰も管理してないサーバーからデータが漏れ放題ってことやん。」

🦜 きなこ「さらに厄介なのが、MCPはもともとローカル環境向けに設計されたこと。それをリモート環境に拡張した結果、ダブルホップレイテンシっていうパフォーマンス問題も出てきてる。」

🦜 きなこ「そうだね。人間なら怪しい説明文を見抜けるかもしれないけど、AIは書いてあることを素直に信じちゃうから。」

🦜 きなこ「もう一つの問題がパフォーマンス。MCPはもともとローカル環境向けに設計されたんだけど、リモートで使うと遅延が大きくなるの。」

🐹 もっちー「遅延って、どれくらい？」

🦜 きなこ「開発ツール系は100ミリ秒くらいだけど、金融系は平均2558ミリ秒、2秒半以上かかるケースもあるの。しかもリモートMCPサーバーの調査では、正常に動いてたのは全体のわずか9%だった。」

🐹 もっちー「9%しか動いてない！それ壊れてるやん！」

🦜 きなこ「さらにコンテキストウィンドウの問題もあるの。AIがMCPサーバーに繋ぐとき、ツール定義を全部読み込む必要があるんだけど、5つのサーバーで58ツールだと会話開始前に約5万5000トークンを消費しちゃう。」

🐹 もっちー「まだ何も会話してないのに5万トークン使うの？それって、テスト用紙の余白がもうほとんどないみたいな状態？」

🦜 きなこ「極端に言えばそう。ツールの説明文だけで数千トークン消費して、肝心の推論に使える余裕がなくなる。便利さの代償ね。」

🐹 もっちー「ツールを繋ぎすぎると逆にAIが馬鹿になるってこと？」

🦜 きなこ「もう一つ深刻なのが、コンテキストウィンドウの消費問題。MCPで大量のツールを接続すると、AIの思考に使えるトークンがどんどん減っていくの。」

🦜 きなこ「うん、いい例えだね。Cloudflareの場合は2500以上のAPIをMCPツール化したら200万トークン以上になっちゃって、工夫して1000トークンまで減らしたんだよ。」

対策と業界再編

🐹 もっちー「じゃあ、このままMCPは使い物にならなくなるの？」

🦜 きなこ「そこで出てきたのが、いくつかの対策と新しいプロトコルなの。まずGoogleが提唱するA2A、Agent-to-Agentプロトコルについて話すね。」

🐹 もっちー「MCPとは何が違うの？」

🦜 きなこ「MCPはAIがツールを操作するためのプロトコル。AIの「手」を拡張するイメージ。一方A2AはAI同士が会話して協力するためのプロトコル。AIに「同僚」を作るイメージなの。」

🐹 もっちー「なるほど。手と同僚ね。それってライバルなの？」

🦜 きなこ「業界のコンセンサスは「補完的」って見方だよ。MCPでツールに繋ぎ、A2Aでエージェント同士が連携する二層構造になっていくと言われてるの。」

🐹 もっちー「競争じゃなくて役割分担なんだね。」

🦜 きなこ「AWSはBedrock AgentCoreでMCPもA2Aも両方サポートしてるし、GoogleもGeminiにBYO-MCP機能を入れてMCPとの共存を図ってるの。」

🐹 もっちー「AAIFってどんな団体なの？」

🦜 きなこ「Linux Foundation配下の新しい財団で、Anthropic、OpenAI、Blockが共同創設した。」

🦜 きなこ「プラチナメンバーにはAWS、Google、Microsoft、Bloomberg、Cloudflareも名を連ねてる。」

🐹 もっちー「競合同士が一緒の財団に入ってるんや！すごい時代やな。」

🦜 きなこ「プロトコル戦争は終わって、次の競争は「プロトコルの上に何を載せるか」に移ったの。モデルの性能、データ基盤、パートナーエコシステム、そこが勝負の場になってる。」

🦜 きなこ「セキュリティ対策としては、MCP Gatewayっていう仕組みが注目されてるの。CloudflareやGoogleのApigee、Kongなんかが提供してる。」

🐹 もっちー「ゲートウェイって何をするの？」

🦜 きなこ「マンションの管理人さんみたいなもので、誰がどのサーバーにアクセスしていいか管理したり、怪しいリクエストをブロックしたりするの。」

🐹 もっちー「管理人さんか。それは安心だね。」

🦜 きなこ「ただし、Cloudflare自身が言ってるんだけど、ローカルのMCPサーバーを安全に保つのは「負け戦」だって。」

🦜 きなこ「リモートのマネージドサーバーに移行していく流れは避けられないの。」

🦜 きなこ「Cloudflareのトークン問題への対策も面白くて、Code Modeっていう方式を使ってるの。数十のツール定義を2つの抽象的なツールに圧縮して、AIが必要に応じて動的に探す仕組み。」

🐹 もっちー「おー、賢い！必要なときだけ探しに行くのね。」

🦜 きなこ「そう。これで200万トークンが1000トークンまで減ったの。99.95%の削減。こういう工夫が今後の鍵になると思うよ。」

🐹 もっちー「じゃあ今MCPを使ってる開発者は、まず何をすればいいの？」

🦜 きなこ「3つあるよ。まず、接続するMCPサーバーは公式か信頼できるソースのものだけに限定すること。」

🦜 きなこ「次に、MCPサーバーのツール説明文を、必ず人間の目で確認すること。」

🦜 きなこ「最後に、最小権限の原則を徹底すること。AIに必要以上のアクセス権を与えないのが基本中の基本なの。」

🐹 もっちー「なるほど、便利だからって何でもかんでも繋げたらアカンってことやな。」

まとめ

🦜 きなこ「じゃあ今日のまとめだよ。MCPは月間9700万ダウンロード、1万以上の公開サーバーっていう大成功を収めた。」

🦜 きなこ「でも同時に、標準化が攻撃面を集中させて、CVSS 9点台の脆弱性が次々と見つかった。Tool PoisoningやShadow MCPという新しい脅威も生まれたの。」

🐹 もっちー「便利さと安全は表裏一体ってことだね。」

🦜 きなこ「今後はMCPとA2Aの二層構造で業界が再編されていく流れだよ。MCPがツールへの接続を、A2Aがエージェント間の協調を担う形。」

🦜 きなこ「個人的には、MCPの成功と課題は、オープンソースのセキュリティ問題と同じ構造だと思ってる。広く使われるほど、攻撃者の注目も集まる。」

🐹 もっちー「便利さとセキュリティのバランスか。どっちかだけじゃダメなんだね。」

🦜 きなこ「MCPを使う開発者は、信頼できるMCPサーバーだけを使うこと、ゲートウェイで認証を入れること、ツールの説明文を検証すること。この3つは最低限やっておくべきだよ。」

🐹 もっちー「便利だからってなんでも繋げちゃダメなんだね。ぼくも何でもかんでも食べちゃうから気をつけないと。」

🦜 きなこ「もっちーは食べ物の話に持っていくのが上手いね。でもまさにそう、何でも口に入れるのは危険なの。」

🐹 もっちー「飼い主もこの前、怪しいフリーソフトをインストールしてパソコン重くなってたもんね。」

🦜 きなこ「それは黙っておいてあげようね。」

🐹 もっちー「MCPのセキュリティとかA2Aとか、もっと知りたいことがあったらコメントで教えてね！」

🐹 もっちー「MCPの話、最初は便利なだけだと思ってたけど、裏にこんな深い話があったんだね。勉強になったよ。」

🦜 きなこ「普段使ってるAIツール、MCPで何かに繋いでる人は特にセキュリティ気をつけてね。」

きなこもっちーのテック深掘り では、AI/LLM を中心としたテック全般をハムスター（🐹 もっちー）とセキセイインコ（🦜 きなこ）の掛け合いで楽しく解説しています。

▶️ 動画で観る → MCP 2026: 業界標準から『セキュリティ悪夢』へ ― 月間9700万DLの光と影

👍 この記事が役に立ったら LGTM・ストックしてもらえると励みになります！

📺 チャンネル登録はこちら → きなこもっちーのテック深掘り

🔗 他の解説動画も見る → きなこもっちーのテック深掘りの動画一覧