State of MCP Security 2026：MCPエージェントの攻撃対象領域が独立した課題に

最初の専門的なMCPセキュリティレポートは、エコシステム自体よりも急速に拡大する負債を記録しています。

簡単に言えば

Canopiiによる「State of MCP Security 2026」と題された最初の専門レポートは、Model Context Protocol（MCP）エコシステムの脆弱性と悪習慣をまとめています。メッセージは明確です：セキュリティは採用のスピードに追いついていません。

事実

2026年7月12日公開（Canopii PDF）の同レポートは、公開・非公開のMCPサーバーを分析し、以下のような脆弱性クラスを特定しています：露出したトークン/認証情報、サーバー側のオリジン制御不在、ツール記述を介したプロンプトインジェクション、固定されていない依存関係、そして寛容なスコープ管理。

分析

MCPは2025-2026年に急速に普及しました。その理由は、LLMをN個の統合コーディングなしでツールに接続するという真の問題を解決したからです。しかし、採用のスピードがセキュリティの整備を上回りました。3つの典型的なパターンが浮かび上がっています：

1. ツール記述を介したインジェクション：MCPサーバーはLLMが見るテキストを制御できるため、エージェントを迂回させる隠れた命令を注入できます。これは古典的で既知の手法ですが、一般向けクライアントではほとんど対策が講じられていません。
2. 粗い粒度の認証情報：多くのサーバーが、すべてのツールで再利用される幅広いスコープを持つOAuthトークンを要求し、ローテーションも行われていません。
3. サーバー間の混乱：エージェントが5つのMCPサーバーを連鎖的に使用する際、ツールの結果の起源を追跡する標準的なメカニズムがありません。侵害されたサーバーが別のサーバーに命令を注入する可能性があります。

内部構造

同レポートによると（第三者による監査で確認が必要ですが）、テストされた公開MCPサーバーの約40%が、リポジトリやデフォルト設定で少なくとも1つの秘密鍵を露出させており、約65%が呼び出し元のチェックを実装していません。同レポートは12項目のチェックリストを提案しています：バージョンの厳格な固定、最小限のスコープ、ツール記述の署名、要求時のログ記録、サーバーごとのサンドボックス化。

シナリオ

• 標準化（50%）：AnthropicとOpenAIが2026年第4四半期までに「secure by default」のMCPプロファイルを発表し、ツールの暗号学的検証を導入する。
• 断片化（35%）：各クライアントが独自のセキュリティ強化を行い、エコシステムが「一般向けMCP」と「エンタープライズMCP」に分裂する。
• 重大インシデント（15%）：目に見える侵害が発生し、業界が加速を余儀なくされる。Q1 2027で最も可能性が高いシナリオ。

結論

CTOがエージェントを展開する場合：MCPを未監査のサードパーティコードとして扱うこと。サーバーごとのサンドボックス化、厳格なスコープ、ツール記述の手動レビュー、エージェント出力のモニタリング。投資家にとって：MCPセキュリティ層は真の市場となります。今後6ヶ月以内に2-3社の専門スタートアップが資金調達するのを期待してください。

要注目

• AnthropicまたはOpenAIによるハード化MCPプロファイルの発表
• 一般公開MCPサーバーに関する初のCVE
• MCPセキュリティスタートアップのサイバーセキュリティ大手による初の買収