最新の調査
深掘り
MCP導入後の変更review: 配布物・権限・接続先の再確認
MCPの承認は、確認したartifact、導入経路、権限、credential、network接続先に結び付きます。いずれかの変更後は、影響する証拠を限定的に再確認してから利用を継続します。
MCP SECURITY RESEARCH
MCPを知る。接続を判断する。
公開検査の観測と一次資料から、MCPの脆弱性、権限、導入前の確認を読み解きます。
47件の記事
記事を読む
脅威情報
MCP脆弱性triage: advisory・利用経路・緩和策の一致
公式mcp-server-git advisoryは2026.1.14未満のgit_add path処理を対象とします。配備version、到達可能なtool経路、processから見えるfile、更新または隔離の実証がtriageに必要です。
記事を読む深掘り
MCP検査の未完了証拠: NEED_REVIEWを導入条件へ変える
NEED_REVIEWは導入前に確認すべき未解決事項を示します。安全や脆弱性の証明ではなく、利用する版・設定・権限に対応する証拠の確認が必要です。
記事を読む深掘り
複数MCP間のdata flow: source、field、送信先の確認
MCPでは各clientが1serverへ接続し、hostが複数clientのcontextを集約します。接続の分離は、あるserverのdataを別serverのtool callへ渡す許可にはなりません。
記事を読む深掘り
MCPのreadOnlyHint: 副作用と情報開示は別に確認
readOnlyHintは環境を変更しないというtool側の宣言です。data開示、外部request、課金、audit記録、別toolとの組合せによる作用を防ぐ強制境界ではありません。
記事を読む深掘り
MCPのcredentialsとlogs: redaction前に分ける4つの信頼境界
環境変数で渡したcredentialはprocess、child process、外部API、logsへ広がり得ます。redactionを最後の補助に限定し、scope、継承、保存、閲覧権限を別々に制御する導入条件です。
記事を読む深掘り
MCP package供給経路: lock、artifact、provenanceを別々に確認
同じpackage名や正しいprovenanceでも、実行artifact、依存tree、build内容が同じとは限りません。MCP接続前にversion、digest、発行identity、変更差分を別々に確認する受入条件です。
記事を読む深掘り
MCP resourceのprompt injection: 外部コンテンツと指示権限の境界
検索結果、ticket、document、MCP resourceには指示の形をした文字列が含まれます。取得内容からtool実行や外部送信の権限が生まれないよう、source情報を保った境界が必要です。
記事を読む深掘り
MCPツール説明は権限境界ではない: 宣言と実権限の照合
ツール名、説明、schemaはモデルの選択を助けますが、サーバーが実際に読める情報や送信先を証明しません。完全な宣言と実行権限、呼出引数、外部接続先を分けて確認する導入基準です。
記事を読む深掘り
MCP session IDは利用者identityではない: 認証principalでstateを分離する
旧MCP sessionは通信stateを関連付けますが、利用者認証には使えません。Current MCPはprotocol sessionを廃止しており、どちらの世代でもrequest単位の認可とprincipalに結び付いたstate管理が必要です。
記事を読む深掘り
Local MCPのHTTP公開: DNS rebindingを止めるOrigin検証
localhost上のMCP HTTP serverにもbrowser経由のDNS rebindingが届きます。loopback bind、受信Origin検証、request認証を別々の導入条件として確認します。
記事を読む深掘り
Remote MCPのOAuth discovery: metadata取得先を内部networkから切り離す
Remote MCPの認可では、server由来のmetadata URLをclientが取得します。各discovery段階、DNS解決、redirect、外向き通信を制限し、内部serviceや認証情報への到達を防ぐ受入条件を整理します。
記事を読む深掘り
MCP proxyのOAuth信頼境界: 動的clientごとの同意とredirect URI
複数の動的MCP clientを1つのupstream OAuth client IDへ集約すると、upstream側の同意だけではclientごとの許可を証明できません。per-client consentとredirect URI完全一致が必要な境界です。
記事を読む深掘り
MCP OAuthのtoken audience境界: passthroughが別API権限へ届く条件
MCP clientから受けたtokenとupstream API用tokenは別の認可関係です。resource、audience、検証場所、発行元を分けると、token passthroughが別backendの権限へ到達する経路を接続前に判定できます。
記事を読む深掘り
Git MCPのrepository境界: --repositoryとtool callの一致
--repositoryで対象を限定しても、各tool callのrepo_pathが同じ範囲か未検証だった脆弱性が公表されました。実体パスの包含確認、起動設定、process権限を分けた受入条件です。
記事を読む深掘り
Git MCPの引数注入: ref入力とCLI optionの境界
git_diffとgit_checkoutのref入力がGitのCLI optionとして解釈され、ローカルファイルの上書きにつながる脆弱性が公表されました。修正版、入力検証、実行権限を分けた導入条件です。
記事を読む深掘り
Filesystem MCPのパス境界: 似た名前の別ディレクトリを拒否
パス文字列の先頭一致だけでは、許可ディレクトリと同じ文字から始まる別ディレクトリを配下と誤認します。公式advisoryと修正パッチに基づく、構成要素単位の境界確認と導入時の検証項目です。
記事を読む深掘り
Filesystem MCPのsymlink境界: 許可パスと実体パスの照合
許可ディレクトリ内に見えるsymlinkが、実体としては外部ファイルを指す場合があります。公式advisoryと修正パッチに基づく、実体パスの照合、配布版確認、OS側の制限という導入条件です。
記事を読む深掘り
MCPの脆弱性と強い権限: 接続前に区別したい3つの状態
MCPのコマンド実行やファイル操作は、それだけで脆弱性とは限りません。意図された権限、境界を越える不具合、証拠不足を区別すると、更新・隔離・追加確認のどれが必要かが明確になります。
記事を読む調査
157件の運用系MCP: 自動化・監視・テストは変更管理の境界
20,629件のRegistryスナップショットで、automation/workflow 60件、monitoring/observability 53件、testing/quality 44件、計157件を確認。運用系MCPでは、環境境界、変更承認、通知ノイズ、監査ログ、rollbackを導入前レビューに残す必要がある。
記事を読む調査
検索・ドキュメント・分析MCPの導入前レビュー: 情報源、鮮度、送信先
20,629件のRegistryスナップショットで、検索/知識385件、ドキュメント84件、分析/BI61件、計530件を確認。回答根拠や社内情報に近いMCPでは、情報源の正本、更新日、引用/ログ、外部送信先、読み取り範囲が導入前レビューの記録対象になる。
記事を読む調査
578件のID・データ・クラウド系MCP: 小さなカテゴリでも管理面レビューが必要
Public Registry 20,629件のうち、security/auth 258件、database 203件、cloud provider 117件、合計578件がID・データ・クラウド運用に近いカテゴリだった。件数は2.8%でも、認証情報、データ範囲、監査ログ、取り消し手順を導入前に確認すべき領域である。
記事を読む調査
20,629件の検査済みMCPサマリー: 導入前に見るべき5つの論点
Public Registry 20,629件のうちPASSは419件に留まり、20,210件はWARN、NEED_REVIEW、RESTRICT、BLOCKのいずれかだった。MCP導入では、許可/拒否の二択ではなく、実行境界、source、auth、変更権限、運用上の未確認事項を分けて見る必要がある。
記事を読む深掘り
MCPセキュリティを週次で見直すための5つの観測指標
20,629件のPublic Registryと11,627行の詳細プロファイル根拠を使うと、週次レビューでは件数更新だけでなく、状態分布、能力増加、source/authの未確認事項、実行境界を分けて見る必要がある。
記事を読む深掘り
リモートサービス型278件とローカル型10,335件: MCP導入モデルを分けて考える
リモート公開サービス型は278件、ローカルプロセス型は10,335件だった。MCP導入では、リモートサービス型とローカルプロセス型を同じチェックリストで扱わない方がよい。
記事を読む深掘り
npm package型1,832件: npxで入るMCPの供給網リスク
詳細プロファイル集計ではnpm package型が1,832件、Git repository型が8,376件だった。npxで簡単に起動できるMCPほど、package source、version固定、install時挙動を確認する必要がある。
記事を読む調査
otherカテゴリ16,649件が示すこと: MCP分類はまだ粗い
Public Registryではotherカテゴリが16,649件だった。これは無価値な分類ではなく、MCP用途が急速に広がり、既存カテゴリだけでは説明しきれないことを示している。
記事を読む調査
349件のMCPではない候補分類: Registryから外す判断もセキュリティ品質である
詳細プロファイル集計では349件がnon-MCPに分類された。MCPらしい名前やURLがあっても、実際にMCPとして扱うべきではない候補を分けることは、誤導入を防ぐ品質管理である。
記事を読む調査
1,398件の高負荷・大量処理シグナル: MCPはコスト面でもレビューが必要
高負荷・大量処理に近いシグナルは1,398件だった。MCPリスクはデータ漏えいだけでなく、API quota、DB read、外部請求、ローカル資源消費にも広がる。
記事を読む深掘り
487件の認証情報アクセスシグナル: MCPに秘密情報を渡す前に決めること
認証情報アクセスに近いシグナルは487件だった。MCPがAPI key、OAuth、session、ローカル環境変数の秘密情報を扱う場合、secretの所有者とscopeを曖昧にできない。
記事を読む調査
683件のサーバー間連携シグナル: MCPでデータの行き先を追う必要性
サーバー間連携に近いシグナルは683件、外部送信に近いシグナルは6,032件だった。MCP導入では、AIエージェントが読んだデータをどこへ渡すかを確認する必要がある。
記事を読む深掘り
MCPのツール説明は権限説明でもある: 見える権限を読む
詳細プロファイル集計ではツール説明から権限範囲が見える観測が3,213件あった。MCPではツール名や説明が、AIエージェントに許す行動範囲の入口になる。
記事を読む深掘り
NEED_REVIEWは失敗ではない: 5,394件の追加確認が示すもの
Public RegistryのNEED_REVIEWは5,394件だった。NEED_REVIEWは検査失敗ではなく、導入判断に必要な証拠が足りないことを明示する状態である。
記事を読む調査
PASSは419件: 公開結果と利用環境を分けて確認する
20,629件の公開RegistryスナップショットでPASSは419件だった。公開結果は観測時点の情報であり、別の版や設定、利用環境の安全を保証するものではない。
記事を読む調査
JavaScript 5,389件、Python 2,470件: MCP実装言語の偏り
詳細プロファイル集計ではJavaScriptが5,389件、Pythonが2,470件だった。MCPレビューでは、Node/npmとPython packageの供給網・実行モデルを優先的に見る必要がある。
記事を読む調査
remote MCPは1,213件: 少数派でも境界が違う理由
詳細プロファイル集計ではリモートMCP候補が1,213件、リモート記述子確認済みが596件だった。remote MCPはローカルプロセスより少数だが、認証、origin、データ送信先の確認が別の形になる。
記事を読む深掘り
認証情報が見えないMCPをどう扱うか: unknownが多いRegistryの読み方
詳細プロファイル集計では認証方式不明が11,171件、秘密情報モデル不明が11,098件だった。一方でAPI key、OAuth、ローカル環境変数の秘密情報を示す候補も少数観測された。
記事を読む調査
2,005件の出どころ未解決: MCP候補で出どころが閉じない時に起きること
出どころ未解決に分類されたプロファイルは2,005件だった。GitHubリポジトリ未確認は1,290件、出どころ情報不足は632件あり、導入前の出どころ確認が大きな論点になっている。
記事を読む深掘り
1,425件のファイル変更系プロファイル: AIエージェントに作業ディレクトリを渡す前に見ること
ファイル変更系プロファイルは1,425件、ファイル読み取りシグナルは4,365件、ファイル書き込みシグナルは3,321件だった。MCP導入では作業ディレクトリ境界が重要になる。
記事を読む調査
2,555件の外部変更系プロファイル: MCPが外部サービスを書き換える時の確認点
外部サービスやリモート状態を変更しうるプロファイルは2,555件だった。読み取り連携より、変更系MCPでは監査ログ、対象範囲、取り消し手順が重要になる。
記事を読む調査
2,858件のコマンド/コード実行系プロファイルから見たMCPの実行リスク
詳細プロファイル集計では2,858件がコマンド/コード実行系の能力に分類された。実行機能は便利だが、外部送信やファイル操作と重なると導入前レビューの優先度が上がる。
記事を読む深掘り
10,335件がローカルプロセス型だった: MCPの危険性は端末境界に集まりやすい
詳細プロファイル集計11,627件のうち10,335件がローカルプロセス型、10,070件がstdio型だった。MCPセキュリティでは、リモートAPIだけでなく、ローカル端末で何を起動するかが中心論点になる。
記事を読む調査
Developer Tools系MCPが2,333件あることの意味
Public Registryのカテゴリではdeveloper_toolsが2,333件で、明示カテゴリの中では最大だった。開発支援MCPは便利だが、コード、ファイル、外部APIに近いため導入前レビューの重要度が高い。
記事を読む深掘り
WARN、NEED_REVIEW、RESTRICTを分ける意味: MCP導入判断の3段階
WARN 9,925件、NEED_REVIEW 5,394件、RESTRICT 4,881件は、同じ「危険」ではない。MCP導入では、注意、証拠不足、制限を分けて扱う必要がある。
記事を読む調査
20,210件が確認対象になった理由: MCPレビューはブロックだけではない
20,629件のPublic Registryのうち、20,210件がWARN、NEED_REVIEW、RESTRICT、BLOCKのいずれかに分類された。最大の含意は、ブロック判断ではなくレビュー判断を運用に組み込む必要があることだ。
記事を読む調査
20,629件の検査済みMCPから見えるリスクレビューの現在地
Public Registryは20,629件の検査済みMCPに到達した。WARN、NEED_REVIEW、RESTRICT、BLOCKを合わせると20,210行、全体の98%が導入前に何らかの確認を要する状態だった。
記事を読む深掘り
人気は低リスクの代わりにならない: 10件のMCPサーバーで見たダウンロード数と判定のズレ
10件のMCPサーバーを見た範囲では、ダウンロード数と検査判定は連動しなかった。人気は普及度のシグナルにはなるが、低リスクの根拠にはならない。
記事を読む