MCPサーバーを導入すると、AIエージェントはローカルファイル、SaaS、社内APIなどへ新しい経路で触れられるようになります。便利さの反面、導入するのは一つの「ツール」ではなく、配布元のアカウント、パッケージ、依存関係、ビルド成果物、実行権限、将来の更新を含む供給経路です。Registryに名前がある、GitHubの星が多い、READMEが分かりやすいという事情だけでは、社内で実行してよい根拠になりません。
結論は、配布元、固定した成果物、来歴、実行権限、更新を別々に確認することです。一つのセキュリティ製品やチェックリストに委ねず、どの検査で何を否定できるかを明確にします。MCP Registryは発見の入口として使えても、個別組織のリスク承認を代行する仕組みではありません。
1. 配布元は「表示名」でなく所有の連鎖で確認する
最初に、Registryのnamespace、パッケージレジストリのpublisher、ソースリポジトリ、組織の公式サイトが同じ責任主体を指すかを照合します。表示名が似ていても、別のアカウントであることはあります。導入申請には、URLを一つだけ貼るのではなく、「誰が保守者か」「どの公式アカウントで配布するか」「連絡先と脆弱性報告窓口はどこか」を記録します。
ここで確認できるのは、意図した提供者から取ろうとしているかです。コードの安全性や将来の運用までは証明しません。
2. 導入対象は名前ではなく固定した成果物にする
latestや浮動ブランチを本番の導入指定に使うと、同じ設定から別のコードが入る余地を残します。パッケージのversion、コンテナならdigest、ソースならコミット識別子を記録し、導入時に照合できるようにします。固定は更新を止めるためではありません。何が変わったかを比較し、承認した更新だけを進めるためです。
たとえば社内ナレッジ検索用のMCPサーバーを追加する場合、検証環境では固定した版に対し、接続先URL、呼び出せるツール、返せるデータ、失敗時の挙動を確認します。本番は同じ版だけを昇格し、版が変わったら再度この検査を通します。SLSAはビルド来歴を検証可能にする考え方を示し、NIST SSDFは安全なソフトウェア開発の実践を整理しています。どちらも「安全なコード」というラベルを発行するものではなく、確認可能性を高める枠組みです。
3. SBOMと来歴は依存関係の盲点を減らす
サーバー本体だけを読んでも、実行時に入る依存パッケージやビルド手順が見えなければ、変更点を追えません。SBOM（ソフトウェア部品表）は、少なくとも何が含まれるかを共有する材料になります。provenance（来歴）は、どのソースからどの工程を経て成果物になったかを確かめる材料です。二つがあっても脆弱性がないとはいえませんが、インシデント時に影響範囲を調べる速度を上げます。
導入票には、固定版、取得先、SBOM・来歴の有無、主要依存、更新担当を残します。情報が不足する場合は権限を狭めた検証用途に限定するか、導入理由を再評価します。
| 検査点 | 導入前に記録するもの | 見落としやすい限界 |
|---|---|---|
| 配布元 | namespace、publisher、公式リポジトリ | なりすましや保守者変更を完全には防げない |
| 成果物 | version、digest、コミットID | 固定しても既知の欠陥は残り得る |
| 来歴・SBOM | ビルド由来、部品一覧、取得日時 | 網羅性・正確性は別途確認が要る |
| 実行権限 | 読取・書込、ネットワーク、秘密情報 | ツール説明だけでは実アクセスを示さない |
| 更新 | 差分、再試験、承認者、ロールバック | 自動更新は承認済み差分を越え得る |
4. 実行権限はエージェントの権限と分ける
MCPサーバーに渡す資格情報は、エージェントに与えた目的と同じ範囲である必要はありません。読み取り検索だけなら書き込みトークンを渡さず、テスト用の隔離テナントを使います。外部URLへの接続、ローカルファイル、シェル実行のように影響範囲が違うツールは、一つの「許可」にまとめません。実装を読まずに権限を広く与えるなら、少なくともsandbox（隔離環境）で挙動を観測してからにします。
更新も新規導入と同じです。自動更新の前に、誰が差分を確認し、問題時にどの版へ戻すかを決めます。
限界：署名やSBOMは利用目的を安全にしない
署名・digest・SBOM・来歴は供給経路の検証材料です。プロンプト経由の誤操作、過剰な権限、誤った接続先、業務ルール違反を防ぐものではありません。また、パッケージの信頼性評価は導入組織のデータ分類、契約、アクセス制御によって変わります。高リスクの書き込み操作や秘密情報を扱う接続は、サプライチェーン確認とは別に、人の承認と業務レビューを残してください。
導入候補の配布元・権限・更新経路を確認したい場合は、MCP・AIエージェントのセキュリティレビューをご利用ください。
一次情報と確認範囲
確認日：2026年9月4日。製品仕様・制度は更新されるため、導入時はリンク先の最新版を再確認してください。海外の制度・職業規範は日本へ直接適用せず、相違点と限界を本文に明記しています。