8月11日、Forkast.newsが「The Model Context Protocol Reaches a Security Inflection Point」と題した記事を公開した。AIエージェントインフラの標準プロトコルであるMCPが、インターネット上に21,000件超もの無防備なサーバーを晒したまま普及を続けているという実態が、複数の研究によって明らかになっている。設計上の根本的な矛盾をめぐり、プロトコル開発者とセキュリティコミュニティの対立が深刻化している。
「設計による露出」という根本矛盾
MCPとは、AIモデルがローカルおよびリモートのデータソースと連携する方法を標準化するプロトコルだ。Claude（Anthropic）やその他のAIエージェントが外部ツールやリソースにアクセスする際の共通インターフェースとして急速に普及した。ところが今、その普及速度がセキュリティ対応を大きく追い越してしまっている。
2026年8月にarXivで公開された研究論文「Exposed by Design（arXiv 2608.00150）」が明らかにした数字は深刻だ。
- インターネットに露出したMCPサーバーインスタンス：21,000件超
- 監査した640本の本番サーバーのうち、OAuthを実装していないもの：91.8%
- シェルツールへの無制限アクセスが確認されたインスタンス：687件
加えて、2026年4月に公開されたOX Securityの「Mother of All AI Supply Chains」レポートでは、MCPのSTDIOトランスポート（標準入出力を使ったプロセス間通信方式）に「システム的なアーキテクチャの脆弱性」が存在すると指摘。影響を受けるダウンストリームのパッケージダウンロードは1億5,000万件、公開状態のMCPサーバーは7,000件超、脆弱なインスタンスは最大20万件に達すると報告されている。
さらに深刻なのがAnthropicの公式見解だ。同社はSTDIOの動作を「設計通り（by design）」と主張し、そのモデルを「セキュアなデフォルト」と位置づけたうえで、入力のサニタイズはあくまで開発者の責任であると述べている。セキュリティコミュニティからは「問題を実装者に押し付けている」との批判が上がっている。
ソウル・サミット：プロトコル設計者とセキュリティ研究者が初対面
こうした状況を受け、**2026年8月13〜14日にソウルで開催されたMCP Dev Summit**が、業界にとって重要な場となった。プロトコルの設計者とセキュリティコミュニティが初めて対面で会合を持ち、脆弱性への対応方針を議論した。
また、OWASP MCP Top 10（OWASPによるMCP特有のリスクトップ10）の策定も進んでいる。トークンの不適切な管理からツールポイズニング（悪意あるツール定義によるモデルの誘導攻撃）まで、MCPに固有のリスクカタログが整備されつつある。CVEの重大・高深刻度案件だけですでに10件超が確認されている。
ガバナンス構造の変化
プロトコルのガバナンスは、Anthropic・Block・OpenAIという共同創設者の影響下から、Linux Foundationのもと「Agentic AI Foundation（AAIF）」へと移管された。AAIFへの移管が持つ意味は小さくない。これまでAnthropicが事実上の主導権を握っていた設計判断が、単一ベンダーの拒否権が及ばない中立的なガバナンス構造のもとで議論される体制に変わったということだ。STDIOの「設計通り」という判断が今後も維持されるか否かも、このプロセスの中で問われることになる。
さらに、米国家安全保障局（NSA）傘下の**人工知能セキュリティセンター（AISC）**も2026年6月にMCPに関するセキュリティ設計上の考慮事項を公開した。AISCは国家安全保障の観点からAIシステムのリスク評価を行う機関であり、そのAISCがMCPを名指しして警告を発したという事実は、問題の深刻さを端的に示している。具体的にはシリアライゼーション、トラストバウンダリ（信頼境界）、暗黙的な信頼関係に関するリスクが強調されており、政府レベルでの懸念がプロトコルの設計見直しを後押しする形になっている。
業界が直面する二択
記事は最終的に、業界の選択肢を二つに集約している。
- プロトコル自体のアーキテクチャを根本的に強化する
- 開発者側のワークアラウンドへの依存を続け、セキュリティを永続的な実装者の負担として受け入れる
「設計による露出（Exposed by Design）」という論文タイトルが示す通り、現状は偶発的な実装ミスではなく、アーキテクチャの選択そのものが問われている段階に来ている。ソウルでの議論の結果とAAIFにおけるガバナンスプロセスの行方が、次世代AIエージェントの基盤インフラが「本質的な堅牢性」を持つものになるか否かを左右することになる。
詳細はThe Model Context Protocol Reaches a Security Inflection Pointを参照していただきたい。
