「ITニュース」｜AI エージェントの供給鎖に走る亀裂——MCP の RCE 脆弱性と「仕様です」という Anthropic の判断
はじめに
2026年4月、セキュリティ企業 OX Security が、AI エージェント統合の事実上の標準として急速に普及しつつある Model Context Protocol（MCP） に 設計レベルの任意コード実行（RCE）脆弱性 が存在すると公開しました（OX Security ブログ）。報告を受けた Anthropic は「プロトコルの設計上の意図的な仕様である」として根本的な修正を拒否し、「隔離された環境で実行するように」という運用上の対処のみを示しました。
2026年5月には 米国家安全保障局（NSA） が MCP セキュリティに関する文書を公開し、政府レベルでの注目も高まっています。
読みどころは次の2点です。
MCP の STDIO トランスポートが「コード実行」に直結する構造の何が問題なのか
Anthropic が「仕様」と判断した背景と、AI エージェントのサプライチェーン全体への波及
※ 本記事は OX Security・NSA・The Hacker News 等の公開情報をもとにした一般的な整理です。PoC の再現・無許可の侵入テストは禁止です。インシデント対応・法務判断は自社手順と専門家に従ってください。
この記事での用語
1. 何が起きたのか（結論）
2024年後半: Anthropic が Model Context Protocol（MCP）を発表——AI エージェントが GitHub・Stripe・データベース等の外部ツールに安全にアクセスするための共通プロトコルとして設計
2025年: MCP が OSS エコシステムで急速に採用。累計 SDK ダウンロード数が 1億5000万件超（Python・TypeScript・Java・Rust の合算）に到達
2026年4月: セキュリティ企業 OX Security が MCP の STDIO インターフェースに RCE 脆弱性 を公開報告
公開アクセス可能な MCP サーバーが 7,000件超 検出され、最大 20万件のインスタンス が脆弱と推定
関連 CVE は 10件以上（CVE-2026-22252〔LibreChat〕・CVE-2025-49596〔MCP Inspector〕等）
2026年4〜5月: Anthropic が脆弱性報告を受領するも「プロトコル設計上の意図的な仕様」として根本修正を拒否。「隔離環境での実行」というミティゲーション戦略のみ提示
2026年5月: NSA（米国家安全保障局） が "Model Context Protocol Security" 文書を公開
2026年6月時点: CISA（米サイバーセキュリティ・インフラセキュリティ庁）は正式な advisory を未発行
忙しい方向けに一言でいうと、
「AI エージェントの共通規格 MCP に設計由来の RCE 脆弱性が発見されたが、Anthropic は『仕様』として修正を拒否——NSA まで動いた OSS 供給鎖の危機」——実際の悪用事例は執筆時点では限定的だが、公開サーバー7,000件超という現実は変わらないという事です。
2. MCP の概要と急速普及の背景
2-1. MCP が解決しようとした課題
AI エージェント（Claude Code など）が外部ツール（コードリポジトリ・データベース・決済 API）を呼び出す際、以前は各ツール向けに個別の統合コードを書く必要がありました。MCP は「AI とツールをつなぐ共通規格」として設計され、一度 MCP サーバーを実装すれば、対応するエージェント全てから利用できる構造を目指しました。
GitHub・Stripe・Slack など主要サービスが MCP サーバーを公開し始めたことで、開発者コミュニティへの普及が加速し、Claude Code だけでなく OpenAI Codex・Cursor など他の AI エージェントも MCP を活用するエコシステムが形成されています。
2-2. STDIO トランスポートという設計選択
MCP には複数の通信方式（トランスポート）があります。そのうち STDIO は「クライアントが JSON 設定に基づいてローカルプロセスを起動し、標準入出力でやり取りする」もっとも実装が簡単な方式です。
設定ファイルに書かれたコマンドがそのまま子プロセスとして実行されるため、「安全な隔離環境での使用」が前提となっています。ただし、その前提が SDK レベルで強制される仕組みになっていなかったことが、今回の問題の根本にあります。
3. 脆弱性の構造——STDIO が「コード実行」に直結するまで
3-1. 脆弱性の本質
OX Security が報告した脆弱性の核心は、MCP SDK が安全でないデフォルト設定を持ち、ローカルサーバープロセスの起動コマンドが、検証（サニタイズ）されていない入力値から直接構築されるという点です。
流れとしては以下のようになります。
MCP サーバーの設定 JSON に「実行するコマンド」を指定するフィールドがある
このフィールドへの入力が無害化されずにシェルへ渡される
攻撃者が悪意ある入力を MCP 設定に混入させると、サーバー上で任意コマンドを実行できる
これはデータ窃取・ランサムウェア展開・他システムへの横展開が技術的に可能になる状態を意味します。
3-2. 影響範囲の整理
「1億5000万ダウンロード」は SDK の累計ダウンロード数であり、現在稼働中の脆弱なサーバー数ではありません。実際に脆弱性をトリガーするには、攻撃者が公開された MCP サーバーを特定したうえで RCE ペイロードを組み立てる必要があります。ただし7,000件超という公開サーバーの存在は確認されており、標的型攻撃のリスクは現実的です。
4. Anthropic が「仕様」と判断した背景
4-1. 「by design」の意味
Anthropic は OX Security の報告を受領した後、「MCP の設計意図に基づいた動作であり、アーキテクチャ変更は行わない」と回答しました。代わりに提示したのは「MCP サーバーをコンテナ等の隔離環境で実行すること」という運用上の推奨です。
技術的には「仕様通りに動いている」という事実に基づきますが、セキュリティ研究者からは「設計の前提（sandbox）を SDK レベルで強制しない限り、脆弱性は実質的に継続する」という批判が上がっています。
4-2. 修正を保留した背景の推定
公開情報から読み取れる背景として、以下が考えられます。
エコシステムの安定性優先: プロトコルをアーキテクチャレベルで修正した場合、既存の MCP サーバー（7,000件以上）との互換性が失われる可能性があります。Claude Code を含む Anthropic 製品のエコシステムを支える開発者が、互換性問題によって離脱するリスクを避けたいという事情が読み取れます。
移行コストとセキュリティのトレードオフ: 根本修正は「breaking change → 開発者の移行負担 → churn」というリスクを伴います。Anthropic にとって MCP エコシステムの規模は Claude の競争優位の一部であり、この判断は純粋なセキュリティ判断だけでなくビジネス判断の面も持ちます。
なお、Anthropic が今後 MCP v2 の設計変更を発表する可能性もあり（後述）、現時点での「修正拒否」が最終判断かどうかは公開情報では確認できていません。
5. 政府・セキュリティ機関の反応
5-1. NSA のセキュリティ文書（2026年5月）
2026年5月、NSA（米国家安全保障局）が "Model Context Protocol Security" 公式文書を公開しました（NSA CSI ドキュメント）。
NSA が特定の AI プロトコルに関するセキュリティ文書を発行したこと自体が、米国政府が MCP の企業・防衛セクターへの普及を注視していることを示します。ただしこれは法的拘束力を持つ「指令（directive）」ではなく「情報共有・推奨（CSI）」文書です。
5-2. CISA の現状
CISA（サイバーセキュリティ・インフラセキュリティ庁）は 2026年6月時点で MCP に関する正式な advisory を発行していません。NSA ガイダンスにより事実上の注意喚起状態にありますが、CISA の正式 advisory が出ていない場合、企業への対応義務は生じません。正式 advisory が 2027年 Q1 に出る可能性は約70%と推定されますが、確定情報ではありません。
6. 短期・中期・長期の整理
時間軸定義:
短期: 0〜3か月（2026年6月〜9月）
中期: 3か月〜1年（2026年9月〜2027年6月）
長期: 1年以上（2027年6月〜）
6-1. 短期（0〜3か月）
予想される動き: Claude Code ユーザーや LLM アプリ開発者の一部（推定20〜30%）が MCP サーバーのコンテナ化・隔離環境への移行を進める。セキュリティ企業が「MCP セキュリティ監査サービス」を市場に投入。OX Security 報告を受けた関連 CVE のさらなる申請が続く。
不確実性: sandbox 化が「開発の摩擦増加」として受け取られ、実際の移行率が低い水準に留まる可能性がある。NSA・CISA が追加の正式 advisory を発行しない場合、エンタープライズ対応圧力が弱まる（確率: 約20%）。
効果が出ない条件: Anthropic からの公式な続報（修正ロードマップや追加ガイダンス）が出ない場合、開発者コミュニティの対応が個別・断片的になりやすく、セキュリティ水準にばらつきが生じる。
6-2. 中期（3か月〜1年）
予想される動き: Anthropic による MCP v2 プロトコル再設計の発表（Scenario A・確率約60%）。プロトコルレベルでの sandbox 強制が組み込まれる方向へ。NIST サイバーセキュリティフレームワークへの「AI エージェントサプライチェーンセキュリティ」制御の追加が提案される。OpenAI・Google などが「セキュリティ設計優先」を訴求した MCP 代替プロトコルを打ち出す可能性。
不確実性: Anthropic が現状維持（Scenario B・約20%）、または本番環境での実際の悪用事例発生（Scenario C・約20%）という分岐もあり得る。Anthropic の市場支配力が続く場合、MCP 依存がセキュリティ問題にもかかわらず継続するリスク（確率: 約40%）。
効果が出ない条件: MCP v2 が既存サーバーとの互換性問題で移行が進まない場合、エコシステムが「パッチ済み版と未パッチ版」に分断されるリスクがある。
6-3. 長期（1年以上）
予想される動き: MCP v2 あるいは代替プロトコルが業界標準として定着（2027年末目途）。AI エージェントの本番展開における「セキュリティ監査」が SOC2 認証と同様の前提条件に。米大統領令 → NIST CSF 更新 → CISA 指令という政策チェーンが進む。Anthropic が「セキュリティファースト」のポジショニングで信頼回復できれば、Claude の採用は 2028年頃に回復軌道に乗ると見られる。
不確実性: MCP v2 の再設計に新たな脆弱性が含まれる場合、ブランドへのダメージが長期化（確率: 約15%）。AI エージェントの「ジェイルブレイク」チャネルとして MCP RCE が悪用されるシナリオ（確率: 5〜10%）。
効果が出ない条件: グローバルで標準化された「AI エージェントセキュリティ認証」が整備されない場合、企業は個別判断に留まり、業界全体のセキュリティ水準の底上げが遅れる。
7. 混同しやすい点
8. まとめ
MCP の STDIO トランスポートは「隔離環境での使用」を前提とした設計だったが、その前提が SDK レベルで強制されておらず、OX Security により RCE 脆弱性として報告された
Anthropic は「仕様通りの動作」として根本修正を保留し、「隔離環境での実行」を推奨——中期的に MCP v2 の設計変更を発表する可能性が高い（約60%）
Claude Code 等で MCP を外部ツールと接続している環境では、MCP サーバーをコンテナ等の隔離環境で実行しているかを確認することが現時点での最優先の実務対応
エンタープライズ展開を検討する組織は、CISO レベルでの MCP リスク評価と展開ポリシー策定が推奨される段階にある
CISA の正式 advisory・Anthropic の公式続報・MCP v2 ロードマップを注視する
関連記事:
主な参照
免責
本記事は 2026年6月15日時点の公開情報（OX Security・NSA・The Hacker News・TechRadar 等）をもとに整理したものです。
MCP RCE 脆弱性の実際の悪用事例は執筆時点では公開情報内で限定的です。リスク評価は「技術的に可能」という前提に基づきます
Anthropic の「修正拒否」ポリシーは今後変更される可能性があります。note 公開前に Anthropic の公式ブログや GitHub を確認することを推奨します
本記事はセキュリティ情報の一般的な解説を目的とするものであり、投資判断・法務判断・インシデント対応の根拠としないでください。PoC の再現・無許可の侵入テストは法律で禁じられています
情報の正確性には努めていますが、誤りが含まれる可能性があります。最新情報は各一次ソースをご参照ください
【PR】
私も転職エージェントを利用して転職しました。
