7月29日、SiliconAngleが「Biggest ever MCP update brings metadata, cybersecurity enhancements」と題した記事を公開した。AIエージェント開発の基盤技術であるModel Context Protocol（MCP）が、プロジェクト発足以来最大規模のアップデートを迎えた。ハンドシェイク廃止によるステートレス設計への移行、OAuthミックスアップ攻撃への対処、そして新たな拡張フレームワークの導入が柱となる。
ハンドシェイクを廃止、ステートレス設計へ
今回のアップデートで最も影響が大きい変更は、メタデータ処理の仕組みの刷新だ。
従来のMCPでは、AIアプリケーションが外部システムにリクエストを送る際、「ハンドシェイク」と呼ばれるワークフローを通じてメタデータ（使用しているMCPのバージョン情報など）を別途送信していた。このアーキテクチャには構造的な問題があった。ハンドシェイクは複数サーバーにまたがるシステムでも特定の1台にのみリクエストを送信するため、そのサーバーに障害が発生すると単一障害点（SPOF）となりサービス停止に直結する。スケールアウトも複雑になる。
新バージョンではこのハンドシェイク機構を廃止し、「ステートレスプロトコルコア」を採用した。メタデータをリクエスト本体に直接パッケージングする設計で、外部のメタデータ管理機構を不要にする。これによって以下の恩恵が得られる。
- トラフィックスパイク時のスケールアップが容易になる
- サーバー障害からの復旧処理が簡素化される
- 単一障害点が排除される
マイクロサービスやKubernetesで複数インスタンスを水平スケールさせる環境を想定すれば、この変更の意味は大きい。セッション状態を特定サーバーに持たせない設計はロードバランサーとの相性も良く、運用負荷の削減につながる。ステートレスアーキテクチャはHTTPやREST APIが長年採用してきた設計思想でもあり、今回のMCPの方針転換はWebインフラの知見をエージェント基盤に取り込む動きとも見られる。
OAuthミックスアップ攻撃への対策も
セキュリティ面では、認可モジュールの強化が行われた。
MCPはAIアプリケーションが外部システムへアクセスする際の権限管理にOAuthベースの認可機構を使用している。今回の更新でこの機構のエラー耐性が向上し、特に「OAuthミックスアップ攻撃」への脆弱性が修正された。
OAuthミックスアップ攻撃とは、正規の認証フローを悪意ある第三者のサーバーに誘導することでログイン認証情報を窃取する攻撃手法だ。RFC 9700でも言及されているこの攻撃は、リダイレクトURIの検証が不十分な実装で発生しやすい。AIエージェントが外部サービスへの認可を自律的に処理するケースが増えている中、この種の攻撃への対策はエージェント開発者にとって看過できない問題だった。
拡張フレームワークと同梱プラグイン
今回のアップデートでは新しい拡張フレームワークも導入された。MCPのコア機能をカスタム機能で拡張できる仕組みで、事前パッケージ済みの拡張ライブラリも同梱される。
公開時点で同梱される拡張は以下の2つだ。
- MCP Apps — 長時間稼働するAIエージェントワークフローの管理を容易にする。例えば複数のツール呼び出しをまたぐ長期タスクや、非同期で進行するエージェントパイプラインの状態追跡といったユースケースを想定した機能が含まれるとみられる
- EMA — サイバーセキュリティ関連タスクの一部を効率化するツール。正式名称・展開形は元記事において明記されていない
MCPの背景
MCPはAnthropicが2024年11月にオープンソース化した技術で、その後Linux Foundation傘下の業界コンソーシアム「Agentic AI Foundation」に寄贈された。現在はAnthropicやOpenAIをはじめとする主要テック企業が参加しており、AIアプリケーションがデータベースの参照や外部サービスの更新といった操作を行うための共通プロトコルとして機能する。AIエージェント開発の事実上のインフラになりつつある中で、今回のような大規模な仕様変更が与える影響は小さくない。既存のMCPサーバー・クライアントの実装を持つ開発者は、ハンドシェイク廃止に伴う移行コストを見極める必要があるだろう。
今回のリリースは公式ブログでも「プロジェクト発足以来最大のアップデート」と位置づけられている。
詳細はBiggest ever MCP update brings metadata, cybersecurity enhancementsを参照していただきたい。
