8月19日、Sergio De Simoneが「Cloudflare WriteGuard Brings Fine-Grained Security Controls for MCP Servers」と題した記事を公開した。AIエージェントが本番デプロイのトリガーやレコードの一括削除といった破壊的な書き込み操作を実行できてしまう——このリスクに正面から向き合うべく、CloudflareはMCPサーバー向けのポリシー・帰属・監査レイヤー「WriteGuard」をプライベートベータとして公開した。

AIエージェントの「書き込み権限」をどう制御するか

MCP（Model Context Protocol）は、AIエージェントが外部サービスのAPIやデータベースを呼び出すための標準プロトコルとして急速に普及しつつある。読み取り専用のツールであれば影響範囲は限定的だが、エージェントがGitHubへのコミット、Jiraチケットの更新、本番デプロイのトリガーといった書き込み・実行操作を行えるようになると、セキュリティ上のリスクは一気に跳ね上がる。

Cloudflareが発表したWriteGuardは、このリスクに向き合うための共有ポリシー・帰属・監査レイヤーだ。Cloudflare Workers上で動作し、MCPサーバーポータルの直後にインターセプト層として挿入される設計になっている。

WriteGuardの仕組み

WriteGuardはCloudflareのMCPサーバーポータルの直後に位置し、すべての受信MCPリクエストをインターセプトする。対象ツールに紐づいたポリシーをロードし、リクエストコンテキストを評価したうえで、通過させるか・ブロックするかを決定する。ブロックされたリクエスト、および許可後に失敗したリクエストは、いずれも監査サービスに送られる。

特筆すべき設計上の判断は、MCPサーバー自体を変更せずにポリシーを定義できる点だ。Cloudflareのエンジニア Scott Roe-MeschkeとKenny Johnsonはその動機をこう説明している。

GitLabだけであれば、コントロールをサーバー直接に組み込むこともできた。しかし、JiraやWiki、Google Workspace、新たに追加するすべてのMCPサーバーにも同じ機能が必要だった。各サーバーで再実装すれば工数が増え、動作も一貫しなくなる。

ツールごとのリスク階層

WriteGuardは各ツールにリスクティアを割り当てる。

• **read-only**：リスクなし（情報の読み取りのみ）
• **minimal impact**：通知の既読化、コメント追加、イシューの購読など
• **contained write**：マージリクエストの作成、イシューフィールドの更新など
• **critical**：マージリクエストのマージ、本番デプロイのトリガー、レコードの一括削除など

エージェントが critical 操作を実行しようとした際にどう扱うかは、組織が定義したポリシーによって制御される。

既存のOAuth認証を活用した帰属管理

WriteGuardはエージェント専用のアカウントを別途作成しない設計になっている。専用アカウントを用意すると「管理すべきパーミッションセットが二重になる」という問題が生じるためだ。代わりに、既存のOAuthクレデンシャルで人間ユーザーを識別しつつ、MCPクライアントとセッションのコンテキストを付加することで、エージェントが起こした操作を人間の操作と区別して追跡できるようにしている。

監査ログには、サーバー・ツール・リスクティア・結果・ユーザー・クライアント・処理時間が記録される。機密性の高いキーの値はスクラブされた状態で送信される。

WriteGuardは各呼び出しを「成功」「失敗」「ブロック」に分類し、スクラブ済みのイベントを非同期で内部の監査Workerに送信する。イベントには、秘密・機密と判断されたキーの値は含まれない。

背景と意義

AIエージェントが人間の代わりに実際のシステムを操作するユースケースが増える中、「エージェントが何をしたか」を後から追跡できる仕組みは運用上の必須要件になりつつある。

ポリシー管理のアプローチとしては、Open Policy Agent（OPA）のような汎用ポリシーエンジンや、サービスメッシュ（Istioなど）を用いたサイドカーベースの認可制御も存在する。ただしこれらは主にサービス間通信を対象としており、MCPのようなツール呼び出し単位での意味的なリスク分類（critical / contained write など）には追加の実装が必要になる。WriteGuardのようにプロキシ層でポリシーと監査を一元管理し、かつMCPのセマンティクスに合わせたリスクティアを持つアプローチは、個々のMCPサーバーに安全実装の責任を分散させるより現実的な解といえる。

※編集部の考察：上記の競合アプローチとの比較はTechFeed編集部による補足であり、元記事には記載されていない。

プライベートベータへの参加

WriteGuardは現在プライベートベータとして提供されており、ベータ登録ページから参加を申し込める。対象者の条件（既存Cloudflareユーザー限定かどうかなど）については元記事執筆時点で明示されていないが、一般公開前に動作の検証とプロダクトの改良が進められる見込みだ。

詳細はCloudflare WriteGuard Brings Fine-Grained Security Controls for MCP Serversを参照していただきたい。