MCP（Model Context Protocol）とは？AIを社内システムにつなぐ前に経営層が知るべきこと

Model Context Protocolは、AIアプリが周辺のシステムとやり取りする方法を定めたオープンな仕様です。共通の標準がなければ、AI製品と業務システムの組み合わせごとに連携を作る必要があります。ChatGPT用のCRM連携、Copilot用のCRM連携、Claude用のチケット管理連携、という具合です。MCPはこの「個別連携の掛け算」を一つのインターフェースに置き換えます。システムを一度MCPサーバーとして記述すれば、MCPに対応したAIアプリがその機能を見つけて使えるようになります。

MCPはもはや一社のプロジェクトではありません。Anthropicが開発し、2025年12月にAgentic AI Foundationへ寄贈しました。これはLinux Foundation傘下の基金で、Anthropic、Block、OpenAIが共同設立し、Google、Microsoft、AWS、Cloudflare、Bloombergが支援しています。Anthropicは当時、稼働中の公開MCPサーバーが1万以上、PythonとTypeScriptのSDKの月間ダウンロードが9,700万以上、ChatGPT、Cursor、Gemini、Microsoft Copilot、Visual Studio Codeで採用済みと報告しました。企業にとって数字以上に重要なのは中立性です。MCPで作った連携は特定のAIベンダーに縛られません。

仕様は3つの役割を定義しています。ホストは、チャットアシスタントやコーディングツールなど、人が実際に使うAIアプリです。その中のクライアントが各サーバーとの接続を管理します。サーバーは社内システムを包み込み、そのシステムでできることを公開する部分です。通信はJSON-RPC 2.0を使い、現行版（2026-07-28）ではすべてのリクエストがステートレスで自己完結しており、プロトコルレベルのセッションはありません。

サーバーが提供できるものは3種類あります。何を公開するかを決めるときに役立つ区別です。

必要です。MCPはAPIを置き換えるものではなく、多くの場合MCPサーバーはAPIの上に乗る形で作られます。APIは、ドキュメントを読み、決まったエンドポイントに対してコードを書く開発者のために設計されています。一方MCPサーバーは、実行時にツールを見つけ、その名前と説明を読んで、いつ呼び出すかを判断するAIモデルのために設計されます。そのため「良い設計」の基準が変わります。エンドポイントが80個あるREST APIは開発者には問題なくても、80個すべてをツールとして公開するとモデルは似た選択肢に迷います。良いMCPサーバーは、利用者が実際にAIへ頼む業務に合わせた少数のツールを、明確な説明と入力スキーマ付きで提供します。

MCPに関する判断の多くは、次の3つのパターンのどれかに当てはまります。担当者・コスト・リスクがそれぞれ異なるため、開発を始める前に「どのパターンの話か」を明確にしておくと議論が整理されます。

仕様書は明確です。MCPは任意のデータアクセスやコード実行の経路を可能にするものであり、「MCP自体はこれらのセキュリティ原則をプロトコルレベルで強制できない」と書かれています。ユーザーデータを公開する前やツールを実行する前に明示的な同意を得ること、ツールの実行を拒否できる人間を常に介在させることを実装者に求めています。また、ツールの説明や注釈は信頼できるサーバーからのものでない限り「信頼できない情報」として扱うよう警告しています。これらは選定する製品や構築するサーバーに対する要件であり、標準を採用すれば自動的に得られる保証ではありません。

MCPのセキュリティ・ベストプラクティス文書は、具体的な失敗パターンを挙げています。クライアントごとの同意を省くプロキシサーバー（confused deputy問題）、ユーザーのトークンをそのまま別のAPIへ渡すサーバー、OAuthのメタデータ取得時のSSRF（サーバーサイド・リクエスト・フォージェリ）、推測可能な状態ハンドル、PC上で任意のコマンドを実行してしまうローカルサーバーなどです。トークンのパススルーは明確に禁止されており、MCPサーバーは自分宛てに発行されていないトークンを受け付けてはなりません。さらにプロンプトインジェクションがあります。OWASPは2025年版LLMアプリケーションTop 10でこれを1位に挙げ、完全に防ぐ方法は知られておらず影響を減らすことしかできないとしています。MCPツールが返す文書・メール・Webページには、モデルへの隠れた指示が含まれ得るのです。

2025年9月にプレビュー公開された公式のMCP Registryは、提供者の自己申告情報に基づく公開サーバーのカタログです。管理は事後対応型で、コミュニティが問題のある掲載を報告し、メンテナーが後から削除します。掲載は「審査前のアプリストア」程度に考え、自社で確認を行いましょう。以下は、仕様書とそのセキュリティガイドに基づいて私たちが確認している項目です。

まずは、社員がAIアシスタントと業務システムの間で情報を手作業でコピーしている業務を一つ選び、そのシステムを読み取り専用のツールで接続します。回答の質が上がるか、どのくらい使われるかを測定します。書き込み操作は一つずつ、確認ステップ付きで追加し、権限を広げる前にログを見直します。自社のMCPサーバーを公開する場合は、製品として扱いましょう。業務単位の少数のツールを設計し、自社サーバー宛てに発行されたトークンでOAuthを正しく実装し、変更に備えます。仕様は今も進化しており、たとえば2026-07-28版ではプロトコルレベルのセッションが廃止されました。