Model Context Protocolは、エージェントが外部のツール、サービス、データソースを見つけて呼び出す方法を標準化します。これにより自動化が加速し、エージェントはチケットの作成、クエリの実行、トランザクションの開始などを行えます。一方で、権限が集中するという課題も生じます。1つのプロトコルエンドポイントから多数のサービスを列挙して呼び出せる場合、従来のアクセス制御が前提としていたツールごとのコンテキストが失われます。まずはMCPの役割を理解し、MCPサーバーを単なるネットワーク保護の対象ではなく、可観測性と制御の両方が必要なプロトコルゲートウェイとして扱うことが重要です。

MCPには、一般的なAPI公開環境にはない複数の攻撃経路があります。ツールポイズニングでは、ツールのマニフェストを改ざんし、エージェントに悪意ある、または危険な操作を実行させます。ツールの列挙によって、攻撃者はアクセス可能な内部機能を特定し、標的の優先順位を付けられます。エージェントのなりすましや認証情報の悪用は、不正な操作につながります。さらに、悪意あるMCPサーバーがエージェントのリクエストを傍受したり、別の宛先へ転送したりする可能性もあります。こうしたプロトコル起点の攻撃の多くはシグネチャベースのルールだけでは見逃されるため、呼び出しのパターンや頻度、後続の影響を監視する振る舞い検知が必要です。

Radwareは、MCPに特化した可視化とプロトコル対応の脅威緩和を組み合わせています。主な機能は、MCPサーバーと公開ツールのインベントリー作成・マッピング、プロトコルの不正利用（パターン化された大量リクエストや通常と異なるツール呼び出し順序など）の検知、エージェントIDの分析、大規模なポリシー適用を可能にするガバナンス制御です。パブリッククラウド、プライベートクラウド、Kubernetes、ハードウェアアプライアンスなどのハイブリッド環境に対応し、多様な企業システムで運用できます。この製品はRadwareの既存のAgentic AI ProtectionおよびLLM Firewallを拡張し、エージェント、モデル、MCP基盤全体を統合的に保護します。

運用担当者は、3段階で導入を進めるのが効果的です。第1段階ではMCPサーバーを洗い出し、公開されているツールを一覧化します。その結果は設定資産として管理します。第2段階ではエージェントの活動を収集し、通常の呼び出し順序を基準として設定することで、異常検知を調整し誤検知を減らします。第3段階では、レート制限、ツールアクセス制御、拒否リストなどを段階的に適用しながら、ID管理、シークレット管理、変更管理と連携させます。エージェントに高リスクのツールへのアクセスを許可する前に、承認ゲートやシミュレーション実行といった安全確認を自動化ワークフローに組み込む必要があります。

MCPセキュリティは、技術面だけでなく組織面の課題でもあります。法務、コンプライアンス、事業部門の責任者が、エージェントに許容される操作やデータ利用の範囲を定める必要があります。セキュリティチームには、業務リスク（財務と人事など）を反映したポリシーテンプレートと、エージェントのIDやツールの重要度に応じた適用レベルが求められます。今後は、MCPエコシステム全体でテレメトリー形式やポリシースキーマの標準化が進むと予想されます。ID管理、SIEM、オーケストレーション基盤とオープンに連携するベンダーが、安全なエージェント導入を後押しするでしょう。当面は、単純な一律ブロックよりも、可視化とガバナンスをロードマップの優先事項にすべきです。