社内で無断稼働しているAIエージェントを見つけ出す — コンフィグファイル・DNSログ・OAuthトークンで追跡する方法

9月5日、Stein Ove Helsetが「How to Detect Shadow AI and MCP Servers in Your Company」と題した記事を公開した。この記事では、社内で無断稼働しているシャドーAIおよびMCPサーバーを検出する具体的な手順について詳しく紹介されている。

開発者が数人いる会社であれば、今この瞬間も誰かのマシンでMCPサーバーが動いている可能性が高い。悪意があるわけではなく、生産性向上のために個人が勝手にインストールしているケースがほとんどだ。問題は、セキュリティチームがそれを把握していない点にある。

MCPサーバー（Model Context Protocol サーバー）とは、CursorやClaude Desktopといったコーディングエディタ・AIクライアントが外部ツールやデータソースに接続するための仕組みだ。セットアップに数分しかかからないため、ガバナンスポリシーが整備される前に広がりやすい。

まずコンフィグファイルを探す

最も手軽な出発点はコンフィグファイルの探索だ。各MCPクライアントは設定ファイルを決まったパスに保存する。macOSの場合、主な場所は以下のとおりだ。

~/.cursor/mcp.json
~/.claude.json
~/.config/Code/User/settings.json
~/Library/Application\ Support/Claude/claude_desktop_config.json

プロジェクトリポジトリ内にも .cursor/mcp.json、.vscode/mcp.json、.mcp.json が存在しうる。IntuneやJamfといったMDMツールを使えば、以下のスクリプトで社内端末のサーバー名を一括収集できる。

for f in ~/.cursor/mcp.json \
  ~/Library/Application\ Support/Claude/claude_desktop_config.json \
  ~/.claude.json; do
  [ -f "$f" ] && jq -r '.mcpServers | keys[]' "$f" 2>/dev/null
done

command や url フィールドも合わせて出力すれば、何が動いていてどこに接続しているかまで把握できる。

ネットワークログとOAuthトークンを確認する

コンフィグファイルだけでは見えない部分をカバーするには、過去30日分のDNSログまたはプロキシログを取得し、以下のホスト名でフィルタリングする。

api.openai.com
api.anthropic.com
generativelanguage.googleapis.com
openrouter.ai

これをソースマシンごとにグルーピングすれば、どの端末がどのAI APIを叩いているか把握できる。加えて、MCPサーバーがローカルでよく使うポート（3000、8000、8080）への外向き接続や、プロセス名に mcp を含むものも確認したい。macOSなら lsof -i -P | grep -i mcp で即座に確認できる。

OAuthトークンの確認も見落とされがちだが効果的だ。GitHub、Notion、Slack等の管理コンソールでOAuthアプリと個人アクセストークンを一覧し、「mcp」「cursor」といった名前のトークンや、見覚えのないOAuthアプリを探す。直近1週間以内に使われたトークンがあれば、それに対応するサーバーが稼働中である可能性が高い。

直接聞くのが意外と早い

シンプルだが効果的な手段として、チームに直接尋ねることが挙げられている。IBMが公表した調査結果によれば63%の組織にAIガバナンスポリシーが存在せず、Wizが自社顧客環境を分析したレポートでは80%の組織がAIの成熟したガバナンスモデルを持っていないという。いずれもAI活用が急速に広まる中でポリシー整備が追いついていない実態を示したデータだ。こうしたポリシーの空白期間中に広がった利用状況を把握するには、「使用中のMCPサーバーの一覧を作りたい」と率直に伝えるのが最速だ。摘発が目的ではなく、セキュリティチームのレビューに向けたインベントリ作成であることを明示すれば、大半のメンバーは協力してくれる。

見つけた後どうするか

リストができたら、一律にブロックしないことが重要だ。禁止しても開発者は別の手段を探すだけで、むしろ可視性が下がる。

複数のメンバーが使っているサーバーは、ObotのようなMCPゲートウェイに集約する方法が紹介されている。ObotはオープンソースのMCP管理基盤で、以下を提供する。

RBACによるアクセス制御（ユーザー・グループ単位でサーバーへのアクセスを制限）
エンタープライズ認証との統合（Okta、Active Directoryなど）
全呼び出しのログ記録（誰がいつ何を呼んだか把握できる）
リスクの高い呼び出しを事前にブロックするガードレール

上記の手作業（コンフィグ探索、DNSログ確認、OAuthトークン監査）は月次で繰り返す必要があり、根本的には「MCPトラフィックが一箇所を通らない」構造上の問題だ。ゲートウェイを経由させることで、この問題はなくなる。

なお、リスクの規模感として：Wizのレポートでは77%の従業員が機密性の高い社内データをAIサービスに貼り付けており、ファイルアップロードの40%にPIIや支払いカード情報が含まれているというデータも示されている。GDPRやEU AI Actへの対応という観点でも、放置はリスクが高い。

詳細はHow to Detect Shadow AI and MCP Servers in Your Companyを参照していただきたい。