MCPとAI Agent Skillsは安全ですか？2026年にサードパーティーAIツールを使う前に確認すべき10のセキュリティリスク

MCPとAI Agent Skillsは安全か：まず判断基準を決める

OWASPのリスク分類では、過剰なエージェンシーが「LLM06:2025」として独立して扱われています。該当するリスク分類も踏まえ、MCPやAI Agent Skillsは名前だけで安全・危険と決めず、出所、権限、データの流れ、コード実行、隔離の状態を確認してください。今週は、確認できないツールへの接続を保留し、最小権限の隔離環境で検証するのが妥当です。

この記事は、MCPサービスを接続する開発者、第三者AIツールの指示やスクリプトを評価する担当者、AI Agentの導入を審査する技術・セキュリティチーム向けです。

最終更新：2026年。確認対象は、MCPのセキュリティ文書、Skills仕様、認証・プロンプトインジェクションに関する公開資料です。実装や文書は更新されるため、実際の導入時にはリンク先の最新版も確認してください。

判断に必要なのは、公開元と保守状況、権限の一覧、指示や実行内容、依存関係、データ処理の説明です。提供元やデータの送信先を確かめられない場合、あるいは作業に不要な強い権限を要求された場合は、許可せずに止めます。

MCPの権限・入力・出力で確認するリスク

MCPのツール呼び出しでは、説明文だけでなく、実際の権限と入出力を確認します。MCPのセキュリティ方針や認可に関するセキュリティ上の考慮事項も参照し、接続先や認可の境界が実装と一致しているか照合してください。

リスク	発生しやすい条件と確認できる証拠	対応と判定
1. 過剰な権限	読み取りだけで足りる作業に、書き込みやコマンド実行の権限を要求する	権限を作業単位で分けられなければ「停止」
2. ツール出力経由の指示誘導	取得した文書や外部データに、Agentへの命令として解釈されうる文章が混じる	外部データを未信頼として扱い、承認なしの操作を禁止
3. 意図しないデータ送信	引数やコンテキストに機密情報が含まれ、想定外の接続先へ送られる	入力、出力、通信先を確認できるまで「要確認」
4. 出所・依存関係の不確かさ	公開元、更新履歴、依存先の出所が不明、または追跡できない	公式の告知、保守履歴、確認可能なコードを照合

権限は、ツールの説明と実際の設定を並べて見ます。プロンプトインジェクションは、外部コンテンツがAgentの動作に影響しうる場合に問題になります。OWASPの防止ガイドを参考に、取得内容をそのまま実行指示として扱わない設計にしてください。

Skillsと連携経路にある実行リスク

AI Agent Skillsは、自然文の指示だけとは限りません。記述された手順、スクリプト、コマンド、依存関係を一体として確認します。Skillsの仕様と作成手順の説明を読み、指示と実際の実行内容に食い違いがないか調べます。

リスク	発生しやすい条件と確認できる証拠	対応と判定
5. 指示による安全制約の回避	ユーザーの依頼より優先する指示や、保護策を無効にする記述がある	不審な指示を切り分け、意図を説明できなければ「停止」
6. スクリプト・依存先の予期しない動作	実行ファイルやコマンドの内容が読めない、依存先や取得元を確認できない	内容をレビューし、実行権限とネットワーク接続を制限
7. 機密情報の露出	トークンや秘密鍵が設定、プロンプト、ログに平文で残る	保管場所、ログ出力、共有範囲を点検し、実データを使わず検証
8. 複数ツールの連携による越権	単体では許可されたツールが、連携すると想定外の操作やデータ移送を実現する	ツール間の受け渡しと高リスク操作の承認点を確認

MCPやSkillsの安全性は、個々の部品だけでは評価しきれません。たとえば、読み取りツールの出力を別のツールが書き込み命令として使える構成では、連携全体の権限を確認する必要があります。OWASPのMCP向けセキュリティ管理策も、実装ごとの確認項目を洗い出す手がかりになります。

認証・監査・撤回の備え

接続後の事故対応も、導入判断の一部です。認証方法、トークンの保管・更新・失効手順を確認し、誰がどの操作を行ったか追える記録が残るかを確かめてください。認証情報を共有設定やログに書き込む運用は、漏えい時の影響範囲を広げます。

NISTによるAgentの識別と認証情報に関する解説を参照し、Agentやツールごとの識別、必要な範囲だけの認可、資格情報の失効手段を点検します。記録が不足して異常な呼び出しを特定できない、または接続をすぐ停止できない場合は、本番データを扱わせないでください。

導入前の比較表と確認手順

次の表は、技術的な保証ではなく、第三者AIツールを接続する前の判断基準です。「確認済み」は、公開資料や設定から根拠を確認できた状態を指します。

判断項目	接続を検討できる状態	保留・停止すべき状態
出所と保守	公開元、変更履歴、依存先を確認できる	出所や更新主体が不明
権限と実行	作業に必要な範囲に絞り、実行を制限できる	不要な書き込み・実行権限を外せない
データと連携	送信先、ログ、ツール間の受け渡しを追える	データの行き先や保存範囲が不明
監査と撤回	操作記録があり、認可を取り消せる	事後確認や停止手段がない

導入前は、次の順で確認します。

公開元、保守状況、変更履歴を確認します。依存先も追えなければ接続を保留します。
要求される権限を一覧にし、タスクに不要な読み書きや実行権限を外します。
指示、スクリプト、コマンド、依存関係を読み、説明されていない動作がないか調べます。
テスト用の環境とデータで動かし、送受信先、ログ、ツール間のデータ受け渡しを確認します。
高リスク操作に人の承認を入れ、認証情報の失効と接続停止を実際に確認します。
監査記録から操作主体と内容を追えるか確認し、更新後も同じ点を再確認します。

仮定の例：文書検索用のMCPサービスが、読み取り機能に加えてファイルへの書き込み権限を要求し、送信先も説明していないとします。この場合、検索結果が便利でも接続は保留します。権限を読み取りに限定でき、送信先とログを検証できてから、テスト用データで再評価します。

検証できない項目を残さない

導入判断は、「機能が動いたか」ではなく、出所、権限、データの流れ、実行範囲、監査・撤回を根拠付きで説明できるかで決めてください。どれかを確認できないままなら、第三者AIツールへの認可を止めるのが安全側の判断です。

既存の共有開発環境は、認証情報や作業データが混在しやすく、状態の初期化や操作の追跡が難しくなる場合があります。用途を分離したMac環境は、macOS固有のAgent動作を試す選択肢になりますが、レンタル環境そのものが安全を保証するわけではありません。長期の常時稼働や物理機器への接続が必要なら、自前の専用環境も比較してください。短期間の隔離テストにMacが必要な場合は、VPSSparkの日本向けMac環境を候補として条件を確認できます。VPSSparkの運営情報は運営者情報で確認し、導入前の核査項目が未解決なら接続を急がないでください。