MCPの約束はシンプルで洗練されています：エージェントに一貫性があり監査可能なツール呼び出し手段を提供すること。しかし重要なニュアンスが浮かび上がっています。ユーザーがサーバーを承認した後、リスクの範囲は縮小するのではなく移動します。サーバーの応答やコンテキストに隠された指示が、モデルに許可されたツールを使わせ、その結果トークンやAPIキー、内部データの漏洩を誘発するのです。これは従来の意味でのジャイルブレイクではなく、正当な権限を利用した承認後の誘導攻撃です。

このパターンは一見単純です。ユーザーがサーバーとツールセットを承認します。後にサーバーは一見無害なペイロードを返しますが、そこには巧妙に作られた指示が含まれています。モデルは許可された範囲内で動作し、承認済みのコマンドを呼び出し、ファイルや環境変数を読み取り、その結果を攻撃者管理のエンドポイントに送信します。すべてのステップが技術的に許可範囲内であるため、単純なポリシーチェックは通過し、従来のジャイルブレイクフィルターもほとんど発動しません。信頼の境界はクリックから、会話とツール呼び出しの全ループに移っています。

エージェントワークフローを試験導入する企業にとって、この影響は理論的なものではなく実務的なものです。セキュリティ管理は、ツールの使用方法、タイミング、パラメータを厳格に制御する必要があります。特に秘密情報へのアクセス、システムの内部調査、外部ネットワーク呼び出しに関しては重要です。コンプライアンスや監査チームはMCPサーバーをサードパーティソフトウェアとして扱い、証明書の提出を求め、ネットワークや名前空間で隔離し、一時的な資格情報をローテーションし、改ざん検知ログを義務付けるべきです。最も重要なのは、ツール承認の権限と、特定のリクエストでの使用許可を分離することです。

対策は存在しますが、精密でなければなりません。パラメータの許可リストを強制し、危険なワイルドカードはデフォルトで拒否します。高リスク操作（秘密の読み取り、ファイル書き込み、外部URLへの投稿）には帯域外確認を要求します。サーバー応答の暗号署名を利用し、承認を短命で狭いスコープのセッションに結びつけます。信頼できないコンテンツ由来のツール指示はコンテキストファイアウォールで除去または隔離します。最後に、強制的なパターン（突然のデータ漏洩、繰り返されるスキーマ回避、トークン開示指示の反復）を監視し、検知時には自動的にセッションを取り消します。