トレンドマイクロの分析は、ソフトウェア選定における「よくある思い込み」に疑問を投げかけている。

　第一に「人気度」との相関だ。GitHubのスター数（評価指標）でMCPサーバを分類し、1台当たりの平均セキュリティ問題件数を比較したところ、スター数が50以上の「人気の高いサーバ」と、スター数が1～9の「人気の低いサーバ」の間で、問題件数に有意な変化は見られなかった。人気の高いツールは、標的サーバに不正アクセスする「SSRF」（サーバサイドリクエストフォージェリ）や任意ファイルアクセスといった影響範囲の広い脆弱性を抱える傾向がある。一方で、人気の低いツールもコミュニティーの精査が行き届かないため、サーバの実行コマンドに悪意のある命令を挿入する「コマンドインジェクション」などを引き起こし得る重大な脆弱性が潜んでいる。スターの数は安全性の指標にはならない。

　第二に「開発の活発さ」だ。コミット（変更）数を基準に分析した結果も同様で、活動が非常に活発なサーバ（コミット100以上）と中程度のサーバ（コミット10～49）の間で、1台当たりの問題件数に差は生じなかった。活発なプロジェクトではソースコードの複雑化に伴う脆弱性が生じやすく、開発途上のプロジェクトではセキュリティレビューが不十分なまま公開されるケースがよく見られる。

　MCPサーバ登録サイトの運営者がその信頼性を審査・証明したことを示す「検証バッジ」の有無についても、検証済みサーバと未検証サーバで平均問題件数に差はなかった。このバッジは、専用ツールを用いたコードの脆弱性検査や開発者の本人確認、利用実績の追跡などを経て付与される。モバイルアプリケーション分野では一定の効果を上げている検証という仕組みが、MCPサーバにおいてはまだ十分に機能していない実情が浮き彫りになった。

　MCPサーバの開発者（企業および個人を含む）に目を向けると、より深刻なサプライチェーンリスクが明らかになる。影響を受けたサーバが多い上位20の開発者を分析すると、問題のほとんどは、単なる設定上の弱点ではなく、悪用可能な「脆弱性」に分類された。複数のセキュリティ問題が単一のサーバに同時に存在するケースもあり、入力値検証や基本的なアクセス制御の欠如がMCPサーバ全体にまん延していることを示唆している。

　暗号資産取引や分散型金融（DeFi）に関連するツールを提供している、ある開発者のMCPサーバからは、悪意のあるコードを仕込んでサーバを不正操作する「サーバサイドテンプレートインジェクション」や、AIモデルへの指示に悪意ある命令を不正挿入する「プロンプトインジェクション」が発見された。AIエージェントを介したセッションが1つ侵害されるだけで、不正な取引や認証情報の窃取につながる恐れがある。

　企業の財務や人事システムに組み込まれることを想定したエンタープライズ向けのサーバ群でも、データベース操作に悪意のあるSQLクエリを挿入する「SQLインジェクション」の脆弱性が確認された。「AIモデルが悪意ある入力を無害化してくれる」と過信し、MCPサーバに適切な入力検証が実装されていないためだ。「Active Directory」（AD）に認証なしでアクセスできる状態のサーバも存在し、内部ネットワークの偵察や権限昇格に悪用されるリスクも懸念される。

　広く採用されているMCPサーバが脆弱性を抱えていた場合、それがもたらす波及効果は絶大だ。スター数が多く、セキュリティ問題数も多いMCPサーバは、AI分野に与える影響も大きい。1つのMCPサーバがAIモデルに提供している機能数が多いほど、それぞれの脆弱性が悪用される攻撃の窓口（攻撃対象領域）も拡大してしまう点にも注意が必要だ。

　AIエージェントは一般的に、ターミナル（コマンド入力ツール）やデータベース、ファイルシステムといった厳重に管理されるべき重要な情報資産にアクセスする権限を与えられる。そのため、善意で作られたセキュリティが不十分なプログラムであれ、悪意を持って作られたプログラムであれ、導入組織に甚大な被害をもたらす侵入口となり得る。

　トレンドマイクロは、MCPサーバ共有サービスでの評価をうのみにせず、MCPサーバの活用においてはゼロトラストの考え方を適用すべきだと提唱する。インターネットから入手したMCPサーバは全て未検証の外部プログラムとして扱い、「デフォルトで信頼する」のではなく「信頼するが検証する」姿勢への転換が求められる。

　導入前のプログラム監査の徹底に加え、AIエージェントとMCPサーバ間の通信のリアルタイム監視、悪意ある入力を実行前に検知してブロックする仕組みが不可欠だ。平時の正常な動作を基準（ベースライン）として定めることも重要になる。「天気予報ツールが不審なファイルにアクセスを試みる」といった本来の機能から逸脱した挙動を即座に特定する仕組みなど、多層的な防御システムの構築が必要だ。AIエージェントの「思考」と「行動」の隔たりを安全に橋渡しするためには、開発者と監視システムが一体となってセキュリティの責任を分担しなければならない。