AI連携標準「MCPサーバー」が企業の認証情報を漏洩させるリスク、主要な攻撃経路と事例が明らかに
要点
- AIエージェントを社内データやツールと接続するオープン標準「MCP」のサーバーが、企業の重要機密を外部に晒す温床になり得るとセキュリティメディアが伝えた。
- 多くの環境で設定ファイルへの認証情報の平文保存や、管理外での無秩序なクレデンシャルの散在が放置されている実態がある。
- プロンプトインジェクションによるツールの不正操作や、開発時の過剰な権限付与が残存することで被害が拡大する恐れがある。
- サプライチェーン攻撃の危険性も存在し、40万回以上ダウンロードされたツール「mcp-remote」においてリモートコード実行の脆弱性（CVE-2025-6514）が確認された事例も挙げられている。
セキュリティ専門メディアのThe Hacker Newsは2026年8月17日、AIエージェントが外部システムやデータと連携するために利用する「Model Context Protocol（MCP）」のサーバーにおいて、企業の機密情報が漏洩するリスクが存在すると報じた。AIエージェントの導入が企業で進む中、セキュリティ部門がサーバーの稼働を把握する前に、平文の設定や過剰な権限を通じて認証情報が侵害される危険性が高まっているという。
外部連携を担うMCPサーバーと機密情報の集中
Model Context Protocol（MCP）は、もともとAnthropicが提唱したオープン標準であり、AIアシスタントが外部のツールやデータソースへ接続できるようにするためのプロトコルだ。AIエージェントはMCPを介することで、モデル単体の知識にとどまらず、社内データベースからのレコード取得、ローカルファイルの閲覧、各種APIの呼び出しといった稼働中システムへのリアルタイムなアクセスが可能となる。
この連携を実現するのが、AIと対象システムの間に配置される「MCPサーバー」と呼ばれる軽量プログラムだ。AIエージェントが実行を許可された具体的なアクションを公開する仲介役として機能する。しかし、システム上で実際の処理を実行するためには、そのシステムのアクセス資格情報が不可欠となる。AIエージェントはAPIキーやトークンなどの非人間アイデンティティ（Non-Human Identities: NHI、人間に紐付かないプログラム用のアカウント識別子）を利用して行動を判断・実行するため、MCPサーバーは必然的に各種クレデンシャルやサービスアカウントキーが集約される拠点となる。その結果、秘密情報が漏洩した場合にはデータの流出にとどまらず、攻撃者にシステムを直接操作される危険を伴うと指摘されている。
平文保存と管理されないクレデンシャルの拡散
MCPサーバーにおいて秘密情報が危険に晒される要因として、まずローカル設定ファイルへの平文保存が挙げられている。サーバーの初期セットアップ時に認証情報を含む設定文字列をそのまま貼り付ける運用が広く行われており、暗号化されない平文のままディスク上に残されやすい。こうした設定ファイルは放置されたり、別端末へコピーされたり、誤ってGitリポジトリへコミットされるリスクが高い。攻撃者がサーバーにアクセスした場合、内部に保存された鍵情報が容易に読み取られる状態が生じる。
さらに、機密情報を一元管理する仕組みが整っていない場合、エージェントごとに個別で認証情報を抱え込む「クレデンシャルの無秩序な拡散（スプロール）」が発生する。同一のAPIキーやトークンが複数の設定ファイルや環境変数に分散し、開発、ステージング、本番環境の間で複製が蓄積していく。組織全体でこれらシークレットの完全な棚卸しが行われないため、キーのローテーション（定期的な鍵の更新）が実施されず、有効な状態のまま長期間放置されることが侵害の侵入経路を増やす要因になっているという。
悪意ある入力と過剰なアクセス権限のリスク
サーバーへの直接的な侵入だけでなく、AIエージェント特有の動作特性を突いた攻撃も報告されている。AIエージェントが処理するドキュメント、サポートチケット、Webページなどの入力データ内に悪意ある命令を潜ませる「プロンプトインジェクション」である。エージェントがこれら隠された指示を正当な命令と誤認して従うことで、連携ツールを不正に操作されたり、保持している機密情報を外部へ引き渡すよう誘導されたりする危険がある。
また、開発時の権限設定の不備も問題を深刻化させている。構築作業中に認可エラーを避ける目的で、開発者がMCPサーバーへ必要以上に広範な権限（過剰権限）を割り当てたまま、本番環境へ移行してしまうケースが後を絶たない。最小権限の原則が徹底されていない場合、エージェントが本来の業務範囲を大きく超えた領域までアクセス可能となるため、1箇所の侵害がシステム全体の深刻な被害へと拡大するリスクを生んでいる。
公開サーバーを介したサプライチェーンの脅威
MCPサーバーは誰でも自由に作成・公開できるため、悪意あるサーバーに接続してしまうサプライチェーン攻撃の危険性も現実のものとなっている。記事ではその具体例として、脆弱性「CVE-2025-6514」を挙げている。
クライアント端末上で稼働し、40万回以上ダウンロードされた実績を持つOAuthプロキシ「mcp-remote」において、接続先の悪意あるサーバーからOSコマンドインジェクションを誘発できる欠陥が確認された。この脆弱性が悪用された場合、プロキシを実行しているマシン上でリモートコード実行（RCE）が可能となり、攻撃者にシステムを掌握され、内部の認証情報が盗まれる事態に直結したと説明されている。