この記事の目次
対象と前提
AIアプリにファイル、GitHub、メールなどの外部機能をつなぐ人向けです。MCPはAIアプリとツール提供側のやり取りを定める仕組みで、接続先が安全であることを認証するマークではありません。
公式の構成説明では、AIアプリであるホストがクライアントを介してMCPサーバーへ接続します。「サーバー」は手元で動くプログラムの場合も、遠隔のサービスの場合もあります。
仕組みをつかむ
接続先と、その先の権限をたどる
- AIアプリ
クライアントを介してツールを使う。
- MCPサーバー
手元のプログラムや遠隔サービスで処理。
- ファイル・外部API
与えたアカウントやOSの権限が影響する。
ツールが使える範囲は、接続先へ与えたアカウント・ファイル・ネットワークの実際の権限で決まります。
接続画面の説明と、実際にできる操作を分けます。「読み取り専用」と表示されても、その結果をどこへ返すかは別の問題です。公式のTools仕様でも、信頼できないサーバーからの注釈を安全性の根拠として扱わないよう求めています。
想定リスク
表がはみ出す場合は、横にスクロールして読めます。
| 接続の条件 | 起こりうること | 接続前の確認 |
|---|---|---|
| 出所不明の起動手順 | 手元で別のプログラムが動く | 配布元・パッケージ・起動内容 |
| 広いアカウント権限 | 予定外のデータまで読める | 対象のフォルダー・リポジトリ・権限 |
| 複数のツールを同時に許可 | 読んだ秘密を別ツールで送れる | 読む範囲と送る範囲の組み合わせ |
| 接続したまま放置 | 不要になった権限が残る | 切断方法と認証情報の失効方法 |
「作業フォルダーを指定した」ことも、強制的な隔離を保証しません。旧来のrootsはアクセス制御ではなく、2026-07-28仕様では非推奨とされています。Roots仕様を確認し、実際の制限はOS・接続先・サービスの権限設定で確かめます。
過去の事例から学ぶ
分類：再現実験。 Invariant Labsは2025-05-26、公開リポジトリのIssueに含む指示をきっかけに、エージェントが非公開リポジトリの内容を公開PRへ出す流れを報告しました。研究者の報告に基づく再現例で、一般利用者の被害件数を示すものではありません。
公式のMCPサーバーを使うことと、外部の文章を信頼してよいことは別です。この実験からは、同じ作業で不要な非公開データを読ませないことと、公開操作の境界を分ける必要性を学びます。
誰が何を確認するか
表がはみ出す場合は、横にスクロールして読めます。
| 役割 | 確認すること | 確認の方法 |
|---|---|---|
| 利用者 | 接続したい目的と必要な操作 | 読む・変える・送るを分ける |
| 接続を設定する人 | 配布元、起動先、付与する権限 | 公式手順と実際の設定を照合 |
| 管理者・提供元 | 権限の制限と認証の扱い | 製品のセキュリティ設定と公式仕様 |
一つ確かめてみる
読む許可と、送る許可は組み合わせで考える
- 読む対象
必要なテスト資料だけに絞れるか。
- 送る宛先
取得した情報がどこへ返るか。
接続する前に「この連携で何を読み、何を変更し、どこへ送るか」を一つずつ確認します。メールの要約だけなら、送信・削除・全フォルダーへのアクセスまで必要かを検討します。
最初は、テスト用の資料から。
実データではなく、自分で作ったテスト用の資料と狭い範囲のアカウントで始めます。起動コマンドの意味や送信先が分からなければ、見知らぬ手順を貼り付けて実行せず、接続元の管理者や提供元へ確認します。
確認チェックリスト
- 出所： 公式サイトから配布先へたどり、実際に使う接続先と一致している。
- 操作： 読取・変更・削除・外部送信を分け、不要なものを許可していない。
- 対象範囲： 必要な資料やテスト対象だけを使える設定か確かめた。
- 送信先： 取得した情報がAIアプリ以外へ渡る経路を確認できる。
- 終了： 切断と権限の失効を区別し、不要になった連携を解除できる。
次の行動
接続できた後はエージェントに任せる範囲を決めます。トークンを漏らした疑いがあれば、切断だけで済ませず初動で有効な権限を確認します。
一次資料
書いた人
マーケティングの現場から、AIをつくり、仕事で使う側へ。実際に試したことや、つまずいたことを、図解と具体例で伝えています。
この記事のURL：https://nekoai-lab.github.io/ai-security-playbook/learn/mcp-permissions/
続けて読む
次に読むAIに任せる操作と、確認する操作を分ける
