MCPとは何か。情シスが今知っておく範囲

MCPという名前を聞くようになりました。AIを社内のデータやツールにつなぐための規格です。この記事では、情報システムの担当者が今知っておけば足りる範囲をまとめます。

先に結論を書きます。MCPは、これまでの対策が見ていた場所を通りません。ブラウザも、ネットワークの監視も、端末内で完結するやりとりには届きません。まずは、自社で使われているかを知るところからです。

何を解決する規格か

AIを外部のデータやツールにつなぐとき、これまでは組み合わせの数だけ個別の連携を作る必要がありました。AIが3つ、つなぐ先が10あれば、30通りです。ここを共通の規格にして、つなぎ方を一本化するのがMCPです。

Anthropic が2024年11月に公開し、2025年12月に Linux Foundation 傘下の Agentic AI Foundation へ移管されました¹²。現在は特定の1社が管理する規格ではありません。

登場人物は3つです³。

• ホスト。AIアプリ本体です。どこにつなぐかを管理し、同意を取る主体もここです。
• クライアント。ホストの中にある接続口で、サーバー1つに対して1つ対応します。
• サーバー。機能を提供する側です。ファイル、社内のDB、外部SaaSなど。

つなぎ方が2つある

ここが管理の分かれ目になります。現行の仕様（2026年7月28日版）では、通信方式は2つだけです。

stdio は、ネットワークに出ません。端末の中でプロセス同士が直接やりとりします。この違いが、あとで見る可視性の問題に直結します。

サーバーが渡すものは3種類

この中で、ツールだけが性質が違います⁴。

ツールを選ぶのはAIです。人がその都度指示するのではなく、AIが、今の作業に必要だと判断して呼びます。ここが、これまでの連携と一番違うところです。

情シスが見るべき4点

認証情報の置き場所。仕様には、端末で動くサーバーは認可の規定に従わず、環境から認証情報を取得すると書いてあります⁵。つまり、ローカルのトークンは規格の管理外です。実際、AIアプリの設定ファイルにAPIキーをそのまま書く形式が一般的です。

承認は必須ではない。仕様は、ツール実行の際に常に人を介すべきだ、と推奨の形で書いています。強制ではありません。仕様自体が、これらの原則をプロトコルの層では強制できないと明記しています⁴。承認画面を出すかどうかは、AIアプリ側の実装次第です。

ツールの説明文経由でAIが誘導される。ツールの説明に、人には見えずモデルには見える指示を埋め込む手口が2025年4月に報告されました。承認後に説明を差し替える手口、別の信頼されたサーバーの振る舞いを書き換える手口も同じ報告にあります⁶。仕様側も対応しており、信頼できるサーバー由来でない限りツールの注釈を信用してはならないと規定されています。

監査ログの標準がない。MCPに監査ログの規定はありません。唯一あったロギング機能は2026年7月版で非推奨になり、標準的な観測の仕組みへ移行するよう案内されています⁷。誰が、いつ、どのツールを呼んだかは、AIアプリ側で残すしかありません。

既存の対策でどこまで見えるか

stdio が見えない理由は単純です。AIアプリがサーバーを子プロセスとして起動し、プロセス間のパイプでやりとりするからです。ブラウザも、ネットワークも経由しません。貼り付けやアップロードとしては記録されません。

リモートは事情が違います。2026年7月版で、リクエストにメソッド名とツール名をヘッダーへ入れることが必須になりました。仕様には、途中の装置が本文を解析せずに振り分けや検査をできるようにするためだと目的が書かれています⁸。つまり、ゲートウェイを置けば、どのツールが呼ばれたかは把握できます。何を渡したかは本文の中なので、そこまで見るには別の仕掛けが要ります。

どのくらい使われているか

クラウド環境を調べた2026年7月の調査では、約80%の環境でMCPが見つかりました。そのうち、およそ6環境に1つがMCPサーバーを外に露出しており、露出していたものの約70%は、認証なしの問い合わせに対してツール一覧を返していました。約42%は実データを返し、約10%は機微なシステムにつながっていました⁹。

利用の伸びも報告されています。10週間で利用者が2.5倍、やりとりの件数が3.75倍になったという調査があります¹⁰。

今できること

• 端末で動いているMCPサーバーを数える。AIアプリの設定ファイルを見れば分かります。まずは開発部門からで十分です。
• 社内に向けて、何につないでよいかを決める。ツールを選ぶのはAIなので、つなぐ先を絞るのが現実的です。
• リモートのMCPは、会社のID基盤経由で認可する。管理者が一度承認すれば個別の同意画面を挟まない仕組みが、2026年6月に仕様として確定しました¹¹。退職時の失効もここで扱えます。
• 端末で完結するやりとりは、AIアプリ側のログと設定の統制以外に手段がありません。ここは正直に、現時点の限界として社内に共有してください。

最後に、この記事の賞味期限について。仕様の変化が速い領域です。公開されている今後の方針には、端末で動くサーバーにも HTTP の通信方式を広げる案が含まれています。実現すれば、この記事の前提である、端末内のやりとりは見えないという部分が変わります。