State of MCP Security 2026：MCPエージェントの攻撃対象領域が独立した課題に

最初の専門的なMCPセキュリティレポートは、エコシステム自体よりも急速に拡大する負債を記録しています。

簡単に言えば

Canopiiによる「State of MCP Security 2026」と題された最初の専門レポートは、Model Context Protocol（MCP）エコシステムの脆弱性と悪習慣をまとめています。メッセージは明確です：セキュリティは採用のスピードについていけていません。

事実

2026年7月12日公開（Canopii PDF）の本レポートは、公開・非公開のMCPサーバーを分析し、以下のような脆弱性クラスを特定しています：露出したトークン/認証情報、サーバー側のオリジン制御不在、ツール記述を介したプロンプトインジェクション、固定されていない依存関係、そして寛容なスコープ管理。

分析

MCPは2025-2026年に急速に普及しました。なぜなら、LLMをN個の統合コーディングなしでツールに接続するという真の問題を解決したからです。しかし、採用のスピードがセキュリティの整備を追い越してしまいました。3つのパターンが浮き彫りになっています：

1. ツール記述を介したインジェクション：MCPサーバーはLLMが見るテキストを制御できるため、エージェントを迂回させる隠れた命令を注入できます。これは古典的で既知の手法ですが、一般ユーザー向けクライアントではほとんどガードがありません。
2. 粗い粒度の認証情報：多くのサーバーが、すべてのツールで再利用され、ローテーションされない幅広いOAuthスコープを持つトークンを要求します。
3. サーバー間の混乱：エージェントが5つのMCPサーバーを連鎖的に使用する際、ツール結果の起源を追跡する標準的なメカニズムがありません。侵害されたサーバーが別のサーバーに命令を注入する可能性があります。

内部構造

本レポートは（第三者監査で確認が必要ですが）、テストされた公開MCPサーバーの約40%が少なくとも1つの秘密鍵をリポジトリやデフォルト設定で露出させていること、約65%がコールのオリジンチェックを実装していないことを数値化しています。同レポートは、バージョンの厳密な固定、最小限のスコープ、ツール記述の署名、要求時のログ記録、サーバーごとのサンドボックス化を含む12項目のチェックリストを提案しています。

シナリオ

• 標準化（50%）：AnthropicとOpenAIが2026年第4四半期までに「secure by default」のMCPプロファイルを発表し、ツールの暗号学的検証を導入する。
• 断片化（35%）：各クライアントが独自のセキュリティ強化を行い、エコシステムが「一般向けMCP」と「エンタープライズMCP」に分裂する。
• 重大インシデント（15%）：目に見える侵害が発生し、業界が加速を余儀なくされる — 2027年第1四半期に最も起こりやすいシナリオ。

結論

CTOがエージェントを展開する場合：MCPを未監査のサードパーティコードとして扱うこと。サーバーごとのサンドボックス化、厳格なスコープ、ツール記述の手動レビュー、エージェント出力のモニタリングを行う。投資家の場合：MCPセキュリティ層が真の市場となります — 今後6ヶ月以内に2-3社の専門スタートアップが資金調達するのを期待してください。

要注目

AnthropicまたはOpenAIによるハードニングされたMCPプロファイルの発表、人気MCPサーバーに関する公開CVE、そしてMCPセキュリティスタートアップのサイバーセキュリティ大手による初の買収。