本記事は、セキュリティイベント「NDC Security 2026」におけるセッション「MCP Security: Keep Your AI Agents from Spilling the Tea」の内容を基に再構成している。セッションではITコンサルティング事業を手掛けるSopra Steriaのシニアエンジニアであるマンフレッド・ビョールリン氏とアワール・アブドゥルカリム氏が登壇し、MCPサーバ実装におけるアクセス制御の構造的課題を提起した。両氏はCloud Native Computing Foundation（CNCF）がホストするオープンソースプロジェクト「kagent」を用いて、AIエージェントごとの権限をプロキシとして制限する具体的なアーキテクチャを提示した。

　ビョールリン氏とアブドゥルカリム氏によれば、MCPにおけるセキュリティは大きく3つのレイヤーで構成される。1つ目は一般的なITセキュリティの基本となる「Web／ネットワークレイヤー」、2つ目はデータ分類やコンテンツフィルタリング、脅威検出などを担う「AIファイアウォール」、3つ目が今回焦点を当てる「データとツールのレイヤー」だ。

　データとツールのレイヤーおいて、ビョールリン氏は従来のロールベースのアクセス制御（RBAC）を適用するとAIエージェントに過剰な権限が付与されるリスクを指摘する。そのため、属性ベースのアクセス制御（ABAC）やタスク単位で権限を与える「タスクベースのアクセス制御」（TBAC）などの方式をどう組み込むかが課題となる。

　従来のREST APIによる通信では、エンドユーザーが画面上のボタンをクリックするなど、実行されるエンドポイントとタスクが明確に定義されていた。しかし、AIエージェントは与えられた目標を達成するために、どのツールをどのような順序で呼び出すかを自律的に決定する。そのため、AIエージェントに付与したトークンが想定外のシステム操作を引き起こすリスクが存在する。

　これを防ぐための手法として、トークン交換の標準プロトコル「RFC 8693」を利用して権限を細分化するアプローチがある。しかし、重要な操作のたびにシステムがユーザーへ実行可否を尋ねる仕様にした場合、エンドユーザーは頻繁な承認要求に対応しなければならず、いわゆる「確認疲れ」を引き起こす。結果として、確認作業が形骸化し、セキュリティインシデントにつながる恐れがある。

　ビョールリン氏は、外部のMCPサーバがエージェントに対して悪意のある指示を出す「リバースプロンプトインジェクション」や、エージェントとサーバがループ状態に陥って予期しない処理を繰り返す「自律性のエスカレーション」といったAI特有のリスクにも警鐘を鳴らした。

「kagent」を活用したプロキシ構成と権限の適正化

　これらの課題に対する実践的なアプローチとして、セッションではアブドゥルカリム氏が中心となってkagentおよび「KMCP」を利用したデモンストレーションを実施し、構成例を提示した。

　kagentは、コンテナオーケストレーションツール「Kubernetes」で動作し、自前のLLM（大規模言語モデル）やAIエージェント、MCPサーバを統合的にホスト・管理できるシステムだ。クラウドサービスだけではなく、インターネットから完全に隔離されたエアギャップでも稼働させることが可能であり、機密データが外部のAIベンダーに送信される事態を回避できる。

　両氏が提案したのは、kagentをセキュリティ要件を満たすための「プロキシ」として機能させるアーキテクチャだ。例えば、開発者に「GitHub」にあるMCPサーバへのアクセスを許可する場合、フルアクセスの権限を与えるのではなく、kagentに特定の操作のみを許可した独自のAIエージェントを配置する。開発者はこの制限されたAIエージェントを介してGitHubとやりとりをするため、意図しないリポジトリの削除や大規模な変更を防ぐ役割を果たす。

運用ガイドラインの策定と今後の展望

　技術的な対策と並行して、組織内での運用ルールの策定も不可欠だ。両氏らは、利用するMCPサーバを「社内データへの読み取りのみ許可」「一定の書き込みを許可」「本番環境の変更を許可（非推奨）」といった形でレベル分けし、リスク評価モデルを導入することを推奨している。

　AIエージェントが複数のツールを利用するようになると、エージェントが保持できる情報の処理枠（コンテキストウィンドウ）を超過してしまい、タスクの目的を忘れてしまう問題も発生する。kagentでは、複数のエージェントが互いに通信してタスクを分担する「Agent to Agent」のスキル設定が可能であり、複雑な業務プロセスを安全に分散処理する仕組みも構築できる。

　AIエージェントの活用は業務効率化に大きく寄与する一方で、その自律性のために従来のアクセス制御では対処し切れない課題をもたらす。企業は、自社のセキュリティポリシーに合致する形でAIエージェントの権限をコントロールするアーキテクチャと、開発者向けの明確な利用ガイドラインを早急に整備する必要がある。

本稿は、NDC Conferencesが2026年5月11日に公開した動画「MCP Security: Keep Your AI Agents from Spilling the Tea - Manfred Bjorlin & Awar Abdulkarim」を基に作成しました。