この記事の目次
同じPCにも、別の実行環境がある
- ターミナルのNode
普段のコマンドで呼び出す環境。
- アプリ同梱のNode
アプリの提供元が更新を届ける環境。
- MCPのプロセス
どの環境で起動されたかを別に調べる。
まず押さえる3つの言葉
ランタイムは、プログラムを動かす土台です。Node.jsやBunはJavaScriptのランタイムです。プロセスは、いま動いているプログラムの一つひとつ。MCPサーバーは、AIツールにファイルや外部サービスを扱う機能を渡すプログラムです。
AIツール本体と、そのツールが起動するMCPサーバーは、違うランタイムで動くことがあります。Nodeを更新しても、すべてのAIツールがまとめて更新されるわけではありません。
どこを確認すればいい？
- 01PC・アプリを調べる
- 02設定と依存を調べる
- 03本番の実行環境を見る
表がはみ出す場合は、横にスクロールして読めます。
| 場所 | 確認するもの | 見落としやすいもの |
|---|---|---|
| PC | Nodeの版、アプリの版、起動中のプロセス | 使っていないPC、長時間起動したMCP |
| リポジトリ | Dockerfile、Nodeの指定、CI設定 | 古いパッチ版への固定 |
| 本番 | 実際に動くランタイムとイメージ | 設定だけ変更し、未デプロイ |
アプリの中にも、別のNode。
アプリ同梱のNodeは、ターミナルから使うNodeと別です。アプリの更新案内を確認します。同梱ファイルを直接差し替えると、署名や動作を壊すことがあるため避けます。
更新はいつ完了する？
更新ファイルと、動いている処理を分ける
- 更新版を入れる
導入方法に合う手順を使う。
- 対象を起動し直す
作業を保存し、影響を確かめてから。
- 実行版と動作を見る
新しい処理へ反映されたか確かめる。
- 01更新版を入れる
- 02対象を再起動する
- 03動作と実行版を確認
ファイルを更新しても、起動中のプロセスに新しいコードが自動で読み込まれるとは限りません。MCPを起動したアプリや常駐する親プロセスも確認しましょう。
「影響あり」と「侵害された」は違う
古いバージョンの発見は、侵害の証拠ではありません。対象バージョン、使う機能、外部入力が届く経路を分けて調べます。「ローカルだから安全」「AIツールだから危険」と一括りにはできません。
参考資料
書いた人
マーケティングの現場から、AIをつくり、仕事で使う側へ。実際に試したことや、つまずいたことを、図解と具体例で伝えています。
この記事のURL：https://nekoai-lab.github.io/ai-security-playbook/learn/basics/
続けて読む
次に読むNode.js 2026年10月のセキュリティ更新
