🕵️MCPサーバー選びで見落とされがちな認可まわりのチェック項目✨強化された権限管理の中身を、自分で手を動かした実装ベースでたどっていきます🔐

🔐「つないだ瞬間に全部見られていた」を防ぐために、今すぐ確認すべきこと

MCP（Model Context Protocol）は、AIアシスタントが外部のツールやデータに接続するための共通規格として、ここ数か月で急速に普及しました。公式ブログによると、TypeScript・Pythonの両SDKはそれぞれ累計10億ダウンロードを突破し、月間ダウンロード数も約5億件に達しているとされています。

それだけ多くの人がMCPサーバーを日常的に使うようになった一方で、見落とされがちなのが「認可（Authorization）」の設計です。

米国家安全保障局（NSA）が2026年6月に公開したMCPのセキュリティに関する文書では、悪意のあるMCPサーバーがエージェントシステムに紛れ込んだことで、ユーザーの通知や承認を経ずにメッセージデータが外部に流出した事例が指摘されています。これはWhatsApp連携のMCPエージェントを対象にした研究者による実証で、「つないだだけで見られてしまう」リスクが現実にあることを示しています。

つまり、MCPサーバーを選ぶときに大事なのは「どんな機能があるか」だけではなく、「その権限がどう管理されているか」という点です。この記事では、2026年7月28日に公開された最新のMCP仕様（バージョン2026-07-28）で強化された認可の仕組みを軸に、サーバーを選ぶ・使う際に自分の手で確認できるチェック項目を、ひとつずつ丁寧に解説していきます。専門用語は極力かみ砕きながら進めますので、これからMCPを使い始める方でも、実際に手を動かしてチェックできるようになることを目指します。

🧩まず押さえておきたい「MCPにおける認可」の基本構造

🔑認可はOAuth 2.1をベースにしている

MCPの認可の仕組みは、独自の複雑な方式ではなく、Webでも広く使われている「OAuth 2.1」という標準規格をベースに設計されています。

ざっくり言うと、MCPクライアント（Claudeなどのアシスタント側）がMCPサーバー（外部ツール側）にアクセスするとき、パスワードそのものをやり取りするのではなく、「このアクセスを許可します」という証明書のようなもの（アクセストークン、いわゆるベアラートークン）を発行してもらい、それを提示することで通信を行います。これにより、ユーザーは自分のIDやパスワードを直接MCPサーバーに渡すことなく、必要な範囲だけの権限を与えられる仕組みになっています。

この設計自体は理にかなっているのですが、NSAの文書では「MCPサーバーはOAuth 2.1で定義されたベアラートークンに依存しているものの、トークンの更新・失効・再利用の防止といったライフサイクル管理まではプロトコルレベルで規定していない」という点が課題として挙げられています。つまり、土台の仕組みは標準的でも、その運用をどこまで丁寧に作り込んでいるかはサーバーの実装次第、というのが実情です。

⚠️認可は「必須」ではなく「任意」という点に注意