MCPサーバーをコンテナで隔離して安全に管理する「ToolHive」— AIエージェント開発で野放しになりがちなサーバー権限問題に切り込むOSSプラットフォーム

9月7日、Help Net Securityが「ToolHive: The open-source way to run any MCP server securely」と題した記事を公開した。MCPサーバーを手動インストールした場合、そのサーバーはホストマシンの認証情報とネットワークアクセスをそのまま持つ。どのサーバーが何にアクセスできるか把握できないまま動き続けるこの状態は、AIエージェント開発の普及とともに静かに広がっているリスクだ。オープンソースプラットフォーム「ToolHive」はこの問題に正面から切り込む。

AIエージェント開発が加速するにつれ、MCP（Model Context Protocol）サーバーの運用管理が課題になりつつある。MCPサーバーとは、CursorやClaude Codeといった AIクライアントが外部ツールと連携するためのコネクタだ。開発者が手動でインストールしたMCPサーバーは、ホストマシンの認証情報とネットワークアクセスをそのまま持ち、どのサーバーがどのマシンで動いており、何にアクセスできるかを把握するのが難しい。

ToolHiveはこの運用面の空白を埋めるために、StacklokがApache 2.0ライセンスで公開したプラットフォームだ。

Stacklokは、Kubernetesやサプライチェーンセキュリティの分野で知られるSigstoreプロジェクトなどに関わってきたエンジニアが設立したセキュリティ企業だ。ソフトウェアサプライチェーンの安全性確保を主軸に活動しており、ToolHiveはその知見をMCPエコシステムに応用した取り組みといえる。

何がどう変わるか：コンテナ隔離がデフォルト

ToolHiveの核心は、MCPサーバーを1つずつ独立したコンテナに閉じ込める点にある。手動インストールの場合、サーバーはホストマシンの権限でそのまま動く。ToolHiveは各サーバーに最小限の権限プロファイルを適用し、ローカルの認証情報を渡さない状態で起動させる。

コンテナの境界自体はほぼ設定不要で機能する。アイデンティティ管理・監査ログ・ポリシーフィルタリングといったガバナンス機能を使うには、既存のIDプロバイダーやテレメトリスタックへの接続が必要だ。ラップトップにインストールするだけならサンドボックスとして機能し、ガバナンスは別途構築するプロジェクトになる、という切り分けが明確にされている。

4つのコンポーネント構成

ToolHiveは4つのコンポーネントで構成される。

Runtime：DockerまたはPodmanでローカル実行、あるいはKubernetesオペレーター経由でクラスター実行。権限制御・ネットワークフィルタリング・シークレット管理を適用する。開発元がコンテナイメージを提供していないサーバーも、パッケージマネージャーから直接取得してコンテナ化できる
Registry Server：チームが利用できるサーバーのカタログを管理する。公式のMCP Registry APIを実装し、サーバーへの署名と来歴（provenance）の検証を行う
Gateway（Virtual MCP Server）：複数のバックエンドを1つのエンドポイントに集約。OIDCまたはOAuthによるシングルサインオン、OpenTelemetryトレース、Prometheusメトリクスをサポートする
Portal：デスクトップアプリ。カタログの閲覧とワンクリックインストールが可能

なお、ブラウザベースのクラウドUIは「retired（廃止）」扱いになっている。展開計画はデスクトップアプリとCLIを軸に組み立てることになる。

「作る」より「運用する」が本題

記事が明示しているのは、MCPサーバーを「作る」ツールはすでに多数存在するという前提だ。MCP公式SDKをはじめ、サーバー実装そのものを支援するツールは充実している。ToolHiveが狙うのはその後の問題、つまりどのサーバーがどのマシンで動いていて、何にアクセスできるかの把握である。

MCPエコシステムはまだ黎明期にあり、サーバーの運用管理を体系的に扱うツールは少ない。開発者個人の判断に委ねられがちだった権限管理・可視性・監査のギャップを、インフラレベルで埋めることがToolHiveの設計思想の中心にある。

ランタイム、Kubernetesオペレーター、レジストリはすべて無償でセルフホスト可能だ。GitHubリポジトリはstacklok/toolhiveで公開されている。Stacklokはこれ以外にも、AIコーディングアシスタント向けのセキュリティポリシー管理ツールMinderを公開しており、AIエージェント周辺のセキュリティ基盤整備を継続的に進めている。

詳細はToolHive: The open-source way to run any MCP server securelyを参照していただきたい。