AnthropicがMCPを発表して以来、公開サーバーは1万を超えた。SDKの月間ダウンロード数は9700万回。ChatGPT、Claude、Cursor、Copilotがすべて対応している。
そしてセキュリティ研究者が詳しく調べ始めた。
彼らが見つけたものは気持ちの良いものではない。
ツールポイズニング（Tool Poisoning）
現在最も一般的なMCP攻撃タイプである。
仕組みは単純だ。MCPサーバーはAIクライアントに一連のツールを公開し、各ツールには名前と説明がある。AIモデルはツールを呼び出す際に、これらの説明を読んで使用方法を判断する。
もしその説明に悪意のある命令が隠されていたら？
攻撃者はツールの説明に隠れたプロンプトインジェクションを埋め込み、モデルが通常のツールを実行すると同時に、ユーザーデータを外部アドレスに漏洩させたり、読むべきでないファイルを読み取ったりする追加操作をこっそり実行させることができる。
Adversa AIの研究によると、Anthropic、OpenAI、Cursor、Zapierなど、ほぼすべての主要なMCPクライアントがこの種の攻撃の影響を受けることが確認されている。
リソース増幅攻撃（Resource Amplification）
こちらはさらに巧妙だ。
悪意のあるMCPサーバーはAIエージェントをツール呼び出しループに陥れることができる。各ツール呼び出しが次の呼び出しを引き起こし、何層にもネストされるが、外部からは見えない。
実験データによると、この攻撃は1回のクエリの実際の計算コストを通常の658倍に増幅でき、標準的なセキュリティ検出をトリガーしない。
トークン単位で課金されるユーザーにとっては、知らないうちに請求額が急騰する可能性がある。
リモートコード実行（RCE）
最も深刻なものだ。
研究者はCVSSスコア9.0以上の脆弱性を複数発見し、数十万のMCPインストールに影響を与えている。これらの脆弱性を悪用すると、攻撃者は被害者のシステム上で任意のコードを実行できる——つまり完全に制御できる。
従来のセキュリティ手段が機能しない理由
問題の根本は、MCPアーキテクチャにおけるルーターがLLMそのものであることにある。
従来のファイアウォールやRBAC（ロールベースのアクセス制御）は静的ルールに依存し、IP、パス、権限テーブルをチェックする。しかしLLMのツール呼び出しは意味的な判断に基づいている。静的ルールでモデルが何か不正なことをするよう説得されたかどうかをチェックすることはできない。
ファイアウォールは、モデルにプロンプトが注入されたためにツール呼び出しが発生したことを認識できない。
今できること
セキュリティコミュニティはすでに動き始めている：
- mcp-sec-audit ツールキット：静的・動的解析、MCPToxベンチマークで100%の検出率を達成
- SAFE-MCP フレームワーク：コミュニティ主導のセキュリティ標準（The New Stackが詳細を報道）
- Adversa AIは毎月MCPセキュリティリソースのまとめを公開、2026年4月版がリリースされたばかり
本番環境でサードパーティのMCPサーバーを統合しているなら、今こそ真剣に評価すべき時だ：
- そのサーバーは信頼できるソースからのものか？
- ツールの説明に異常な内容はないか？
- 異常なツール呼び出し頻度を検出する仕組みはあるか？
MCPの採用速度はセキュリティメカニズムの成熟速度をはるかに上回っており、このギャップは現実のリスクになりつつある。
参考元：MCP is Alive, but Faces Challenges（AI Business）；Building With MCP? Mind the Security Gaps（The New Stack）；CocoLoop、Top MCP security resources — April 2026（Adversa AI）；MCP Security: TOP 25 MCP Vulnerabilities（Adversa AI）