8月28日、Search Engine Journalが「WebMCP Connects AI Agents To Actions Inside Websites」と題した記事を公開した。この記事では、AIエージェントがウェブページ上のツールを構造的に操作するプロトコル「WebMCP」が、OpenAI・Shopify・Cloudflareの採用によって実用段階に入ったことについて詳しく紹介されている。以下に、その内容を紹介する。
8月に起きた「実用化」の転換点
WebMCPは2月にChromeが早期プレビューを発表し、6月にはChrome 149のオリジントライアルが始まった。ドラフト仕様、デモ、ブラウザでのテストまでは整っていたが、「プラットフォーム規模でのサイト展開」と「実際に使えるエージェントクライアント」の両方が欠けていた。
それが8月に揃った。
- Shopify：すべてのLiquidストアフロントでWebMCPツールを有効化
- Cloudflare：ネットワークエッジでWebMCPブリッジを注入する開発者プレビューを公開
- OpenAI：8月25日、ChatGPTのデスクトップ内蔵ブラウザに「Site tools」を追加。ChatGPT WorkとCodexが現在開いているページのツールを発見・利用できるようになった
さらにOpenAIは、Google Chrome・Shopify・Cloudflare・Netlify・Vercel・Renderの支援を受けて10日間のWebMCP Challengeを開始している。
Shopifyのディスティングイッシュドエンジニア、Ilya Grigorik氏は、ChatGPTのブラウザがShopifyストアフロント上のツールを使って商品カタログを閲覧しショッピングカートを組み立てられると説明している。
WebMCPが解決する問題：スクリーンショット依存からの脱却
従来のブラウザエージェントは、スクリーンショットやページレイアウトを解析してボタンのクリックやタイピングを模倣する仕組みだ。ボタンのラベルが変わる、ポップアップが出る、カスタムの日付ピッカーが現れる——こうした些細な変化が処理を中断させる。
WebMCPではウェブページが名前付きツールをブラウザに登録できる。ツールには説明と構造化された入力スキーマが付く。エージェントはそのツールを発見し、必要な情報を送り、構造化データを受け取る。
Chrome公式ドキュメントはMCPとの違いをこう表現している：
「あなたのアプリケーションがエージェントの中のゲストになるのではなく、エージェントがあなたのプラットフォームのゲストになる。」
なお、リモートMCPサーバーはウェブページを開かなくてもツールを提供できるが、WebMCPのツールは一時的なもので現在のタブに紐づく。両者は補完関係にある。
Shopifyの実装：10ツール、ただし制御はプラットフォーム側に
ShopifyはすべてのLiquidストアフロントで10種類のWebMCPツールを提供している。Hydrogenの開発者プレビューでも利用可能だ。
たとえばproceed_to_checkoutツールは現在のカートで購入手続きページへ遷移させるが、購入を完了させるわけではない。すべての操作は顧客のアクティブなタブ内で行われ、カートの変更はリアルタイムに反映される。
ここで重要な論点がある。ツールの定義とその説明文はShopifyが決めている。各マーチャントが個別にカスタマイズする仕組みかどうか、個別ツールのオフ・オンが可能かどうかは、現時点のShopify公式ドキュメントには記載がない。
Cloudflareのアプローチ：コード変更なしでエッジから注入
Cloudflareの開発者プレビューでは、サイト運営者はダッシュボードからWebMCPを有効化するだけでよい。元のサイトのコードは変更不要だ。有効化するとCloudflareが各HTMLレスポンスに1行追加し、同一オリジンのブリッジスクリプトを参照させる。現プレビューではツールはCloudflareのサーバーではなく訪問者のブラウザ内で動作する。
Shopifyは全ストアに均一なツールセットを適用し、Cloudflareはコード変更なしにブリッジを提供する。どちらのケースでも、エージェントに向けたインターフェース層はサイトオーナーとエージェントの間に立つ企業が部分的に担っている構造だ。
セキュリティリスク：認証済みセッションで動くことの両刃
WebMCPはユーザーのライブセッション内で動作できる。これが利便性の源泉でもあり、リスクの源泉でもある。エージェントはアクティブなタブのクッキーやセッション情報にアクセスできるため、別途ログインが不要になる一方、認証済みセッション内でツールが実行されることになる。
Chromeが指摘する主なリスクは2つだ：
- ツールの名前・パラメータ・説明にマルウェア的な指示が埋め込まれた悪意あるツール定義
- サードパーティデータに含まれた命令を返す汚染されたレスポンス（プロンプトインジェクション）
WebMCPはこれらのリスクをプロトコルレベルで解決するものではない。OpenAIは、ウェブサイトが提供するツール定義と結果を信頼されていないものとして扱い、購入・メッセージ送信・削除・権限変更に関するすべてのSite toolコールに安全性レビューを適用している。ユーザーはChatGPTのブラウザ設定からSite toolsをオフにすることもできる。
SEJはすでにWebMCPがAIエージェントを乗っ取るために悪用できるとChromeが警告した件を報じている。
ブラウザ対応はChromium系に限定
WebMCP仕様はW3C Web Machine Learning Community Groupが公開しているが、W3Cの正式な標準トラックには載っていない。
- Chrome 149・Edge 150：オリジントライアル中
- Brave Leo：実験的サポート
- Firefox：Mozillaの立場はニュートラル
- Safari：WebKitはAPIデザイン・重複・国際化・プライバシー・セキュリティ等を理由に反対を表明
現時点での対応はChromiumベースのブラウザとOpenAIのデスクトップアプリに集中している。
OpenAIのSite toolsを使うには、最新のChatGPTデスクトップアプリ、ChatGPT WorkまたはCodex、GPT-5.6 SolまたはTerraが必要だ。GPT-5.6 LunaやEnterpriseおよびEduワークスペースでは利用できない。
まだ明らかでないこと
OpenAIとChromeはWebMCPがシミュレートされたブラウザ操作より高速・高信頼と強調しているが、具体的なパフォーマンス数値は公式資料に存在しない。ツール呼び出し回数、タスク完了率、エラー率、コンバージョンへの影響といったデータも現時点では公開されていない。
WebMCPが稼働している事実は確認できる。ただし、実際にどう使われているか、ビジネスへの影響はどの程度かは、まだ不明だ。
詳細はWebMCP Connects AI Agents To Actions Inside Websitesを参照していただきたい。
