MCP検査の未完了証拠: NEED_REVIEWを導入条件へ変える
NEED_REVIEWは導入前に確認すべき未解決事項を示します。安全や脆弱性の証明ではなく、利用する版・設定・権限に対応する証拠の確認が必要です。
Read in English検査結果を受け取っても、利用する環境で必要な確認が済んでいるとは限りません。NEED_REVIEWは、不足・未解決の事実に判断が依存している状態です。脆弱性の証明でも、安全の証拠でもありません。
Key Findings
- 検査結果の存在だけでは、導入条件を満たしたとは言えません。 対象の版、設定、権限、確認日を一緒に読みます。
- NEED_REVIEWは証拠の状態です。 不足している事実を明示し、取得することが次の操作です。
- 未確認事項と確認済みの問題を混同しません。 導入者は、それぞれに必要な対応を確認します。
- 未完了証拠では無条件導入を承認できません。 ただし、未解決serverをすべて悪性とみなす根拠にもなりません。
証拠不足を導入条件へ変換
| 未解決の事実 | 不明な点 | 最小の導入条件 |
|---|---|---|
| publisher / artifact | 確認したsourceが実配布物を生成したか | publisher、正確なpackage/versionまたはimage、配備物を結び付ける |
| runtime設定 | 実際のcommand、引数、環境、endpoint | secret値を含めず有効な起動・endpoint設定を記録 |
| authorization | identity、audience、scope、同意 | 実issuer、audience、scope、拒否経路をtest |
| permission境界 | 到達可能なfile、repository、record、service | model外で範囲を強制し、範囲外targetを拒否できるか確認 |
| network接続先 | prompt、tool入力、file、結果の送信先 | 必須接続先だけを許可し、範囲外egressの拒否を確認 |
不足証拠を接続前に取得できるなら、記録が揃うまでserverを切断状態にします。事実を観測できなくても技術的な制限で露出をなくせる場合は、そのcontrolとtestを残します。例えばserver自身のfilesystem制限を証明できなくても、OSが専用directoryだけを見せる構成なら受入可能な場合があります。host file、credential、command実行、外部送信に対して証拠も強制手段もない環境では、そのserverを利用しません。
未確認と問題ありを区別する
依存関係の出所が未確認であることと、許可範囲外への書き込みが確認されたことは、異なる導入上の課題です。前者には追加の出所確認、後者には修正済みの配布物や実効性のあるアクセス制限が必要です。問題を確認できなかったという理由だけで、安全と結論づけないでください。
範囲を限定した受入操作
無害な許可targetと、許可範囲外の無害なtargetを一つずつ用意します。前者で必要操作が成功し、後者が副作用の前に拒否されることを確認します。配備artifact/version、有効設定、client identity、付与権限、接続先controlを記録します。artifact、権限、credential、endpointが変わった場合は、影響する確認を再実行します。
確認範囲と限界
2026年9月22日時点のMCP Guard公開statusの解釈です。現在のRegistry全件で証拠が完了していることや、すべてのNEED_REVIEWを同じtestで解決できることは示しません。公式MCP authorization要件はtoken audienceやpassthroughなど特定のprotocol境界を定めますが、artifactの出所、host isolation、全toolの挙動までは証明しません。