通常のバグではない
4月15日、セキュリティ企業OX Securityは、AnthropicのMCPプロトコルに関するサプライチェーンセキュリティレポートを公開した。
一般的な脆弱性レポートとは異なり、今回の問題はプロトコルの設計レベルに存在する。特定のパッケージバージョンの記述ミスではない。簡単に言えば、MCPのSTDIO（標準入出力）トランスポート層上にアプリケーションを構築する者は誰でも、知らず知らずのうちにリモートコード実行（RCE）の脆弱性を継承する可能性がある。
影響規模：
- 1億5000万以上のダウンロードが影響を受ける
- 約20万台のサーバーが潜在的なリスクにさらされる
- 11件のCVEが割り当てられ、LiteLLM、Windsurf、Flowise、LangChainなどの主要ツールをカバー
- 研究者は6つの実稼働プラットフォームでコマンド実行の成功を確認
攻撃の仕組み
OX Securityは4つの攻撃経路を特定した。
経路1：直接インジェクション
多くのMCPプラットフォームは、JSON設定を介したMCPサーバーの追加を許可している。攻撃者はcommandフィールドとargsフィールドに悪意のあるOSコマンドを直接注入し、StdioServerParametersを迂回して子プロセスとして実行させる。
経路2：ホワイトリストのバイパス
一部のプラットフォームはコマンドをpython、npm、npxのみに制限している。しかし研究者は、npx -c <悪意のあるコマンド>という形式で引数フラグを利用し、ホワイトリストを回避する方法を発見した。
経路3：ゼロクリックプロンプトインジェクション
WindsurfのようなIDEでは、AIアシスタントがユーザーの明示的な許可なしにMCPのJSON設定ファイルを変更できる。攻撃者はプロンプトインジェクションを利用して、AIに悪意のあるSTDIOサーバーを自動登録させる。
経路4：MCPレジストリポイズニング
研究者は11の主要なMCPサーバーレジストリを調査し、そのうち9つでポイズニングに成功した。セキュリティ意識の高い開発者でも、「公式推奨」ツールをインストールする際に感染する可能性がある。
影響を受ける対象
影響はAI開発ツールチェーン全体に及ぶ。
- 開発ツール：Windsurf（CVE-2026-30615）、Claude Code、GitHub Copilot、Gemini-CLI、Cursor
- AIフレームワーク：LangChain、FastMCP、browser-use
- AIアプリケーション：LiteLLM（CVE-2026-30623）、Flowise（CVE-2026-40933）、DocsGPT（CVE-2026-26015）
- クラウドインフラ：AWS Lambda MCP runners、NVIDIA NeMo Agent Toolkit
LiteLLMとBishengはすでにパッチをリリースしている。LangFlow、LangBot、Agent Zeroなどのプロジェクトの修正状況は現在も追跡中である。
Anthropicの回答：想定内の動作
研究者は調査結果を得た後、責任ある開示プロセスに従ってAnthropicに通知し、プロトコルレベルの修正案を提案した。これが実施されれば、数百万のダウンストリームユーザーを即座に保護できるものだった。
Anthropicの回答は、この動作は「想定内」であり、修正しないというものだった。
公式の見解は、MCPのSTDIOトランスポートはDockerなどのサンドボックス環境内で実行されるべきであり、したがってこの動作は「脅威を構成しない」というものだ。
OX Securityはレポート内でこれに反論している。サンドボックス内であっても、攻撃者はこれを悪用して以下を行うことができると指摘する。
- 暗号通貨のマイニング
- サーバーをプロキシ踏み台として利用
- 計算リソースの不正利用
「これはMCPプロトコルの中核にあるシステムレベルの脆弱性であり、特定の実装におけるバグではない。」 — OX Security研究レポート
このレポートの公開タイミングは注目に値する。同時期、AnthropicはClaude Mythosのサイバーセキュリティ能力を積極的に宣伝し、AIによる脆弱性発見における画期的な進歩を強調していた。一方で自社プロトコルの設計上の欠陥を「想定内」と片付ける姿勢は、矛盾していると言わざるを得ない。
なぜこれが深刻なのか
MCPプロトコルのPython SDKは月間1億6000万以上のダウンロード数を誇り、AIツール統合の事実上の標準となっている。問題は、成功すればするほど、この設計上の欠陥の影響範囲が広がることだ。
STDIOトランスポート層を実装したすべてのMCPサーバー、LangChainやLiteLLMに依存するすべてのAIアプリケーションが、この脆弱性の影に立っている。Anthropicが修正しないという決定は、修正責任をエコシステム内のすべてのダウンストリーム開発者に完全に転嫁することを意味する。
本番環境でMCPサービスを実行している場合、OX Securityは以下を推奨している。
- MCP設定で外部ユーザーがサーバーを追加できるかどうかを確認する
- STDIOトランスポートを信頼できるコマンドのホワイトリストに制限する
- 検証されていないソースからのMCPレジストリツールをインストールしない
- MCPサーバーが真に分離されたサンドボックスで実行されていることを確認する
MCPは優れたプロトコルだが、セキュリティは自動的に得られるものではない。Anthropicがプロトコルレベルでこの問題に対処しない選択をしたということは、この爆弾がエコシステムに埋められたまま、知らない開発者が踏むのを待ち続けることを意味する。
出典：MCP Supply Chain Advisory: RCE Vulnerabilities Across the AI Ecosystem（OX Security）；Anthropic MCP Design Vulnerability Enables RCE, Threatening AI Supply Chain（The Hacker News）；CocoLoop；Systemic Flaw in MCP Protocol Could Expose 150 Million Downloads（Infosecurity Magazine）；Critical Anthropic's MCP Vulnerability Enables Remote Code Execution Attacks（CybersecurityNews）