Cloudflare、AIエージェントのMCP通信を検知・制御する新機能を「Cloudflare One」に追加
要点
-
米Cloudflareは2026年8月14日、AIエージェントが外部ツールを呼び出す際の通信「MCP」を検知し、セキュリティ制御を行う新機能を発表した。
-
セキュリティ基盤「Cloudflare One」において、ネットワーク上のMCP通信を識別し、生成元のユーザーやサーバーを可視化できるようになった。
-
未承認の外部MCPサーバーに対する直接接続を遮断し、承認済みの「MCP Server Portals」経由の通信のみを許可する制御が可能となった。
-
HTTPヘッダーやJSON-RPCペイロードの解析により、引数に含まれる機密データの監視やDLPによる流出防止をネットワーク境界で実施できる。
-
米Cloudflareは2026年8月14日（現地時間）、同社のゼロトラストセキュリティ基盤「Cloudflare One」において、AIエージェントが使用する「Model Context Protocol（MCP）」の通信を検知・制御する新機能を発表した。AIツールを介した未承認サーバーへの接続や機密データの漏洩を防ぐため、ネットワーク境界でMCPトラフィックを識別・制御する仕組みを提供するという。
AIエージェントの普及と「シャドーMCP」の課題
企業のアクセス権限は従来、人間のエンジニアを前提に設計されてきた。高権限の操作にはリスクが伴うものの、人間の判断力と行動速度によってその影響範囲は一定に抑えられていた。しかし、AIエージェントの導入によりこの前提が変化している。エージェントの判断は非決定論的であり、誤った判断を下した場合でも休むことなく高速にツールを実行し続けるため、人間が気づく前に大量の不正アクションが発生するリスクがあるという。
さらに、AIエージェントがSaaSや社内APIを呼び出すための標準規格であるMCP（Model Context Protocol）は、設定を1行追加するだけで接続できる手軽さを持つ。そのため、従業員が「Claude Code」「Codex」「Cursor」「OpenCode」「VS Code」などのAI開発環境から、管理者の承認を得ていない外部MCPサーバーへ直接接続してしまう「シャドーMCP」が懸念されている。MCP通信は固定のホスト名や特定のパス（/mcpなど）を必須としないため、一般的なHTTPS API通信と見分けがつかず、従来のネットワーク監視では検知が困難だったと説明している。
「Cloudflare One」による可視化と通信経路の強制
今回追加された機能により、管理者はCloudflare One上で検査対象のMCPトラフィックを自動識別し、どのユーザーやサーバーが通信を生成しているかを把握できるようになった。
組織が指定した信頼できる接続窓口である「MCP Server Portals」と組み合わせることで、エージェントが承認された経路を利用しているか、あるいは直接接続でバイパスしようとしているかを判別できる。管理ネットワーク上では、未承認サーバーへの直接接続を検知して遮断し、ポータル経由のアクセスのみを強制することが可能になるとしている。
MCPツールコールの構造と機微データのリスク
Cloudflareによると、MCPによるツール呼び出しは「クライアント内部」「ネットワーク上」「サーバー側」の3つの段階を経て処理される。
例えばエージェントが特定都市の天気を取得する場合、ネットワーク上ではJSON-RPC（JSON形式でコマンドや引数をやり取りするデータ仕様）メッセージを含むHTTP通信として送信される。リクエストにはプロトコルのバージョンを示すMCP-Protocol-Versionヘッダーや、実行操作を示すMcp-Method、対象ツール名を示すMcp-Nameといったメタデータが含まれる。
リクエストの引数部分（arguments）には、検索クエリやソースコード、顧客データ、インフラの変更指示といった機微な情報が含まれる場合がある。また、処理完了後にサーバーから返されるレスポンスにも重要データが含まれうる。そのため、リクエスト検査によって危険なアクションの実行を未然に防ぎ、レスポンスの検査やログ記録によってエージェントに渡された情報を追跡することが重要になるという。
セキュリティ制御を実施する3つのレイヤー
セキュリティチームがMCPリクエストを監視・制御するアプローチとして、以下の3つの階層が提示されている。
-
MCPクライアント内部：
AIモデルがツールを選択した直後、リクエスト送信前に「クライアントフック」を用いて宛先やツール名、引数を直接確認する。未承認サーバーの拒否やユーザーへの確認要求、引数内のデータ削除が可能であり、ネットワークを経由しないローカルのstdio型MCPサーバーも対象にできる。ただし、従業員が利用する多種多様なクライアントごとに個別設定を行う必要があり、標準化が難しい点が課題となる。 -
デバイスのネットワーク境界：
「Cloudflare Gateway」のようなセキュアWebゲートウェイが、クライアントから送信されたHTTPリクエストを監視する。TLS復号によりユーザーやデバイスと紐付けてヘッダーや宛先を検査し、ポータル外への直接接続を遮断する。また、DLP（機密情報の流出を検知・遮断する仕組み）スキャンによって引数内の機微データを検査できる。ただし、ローカルのstdio通信や社外ネットワークでの通信はカバーできない。 -
MCPサーバー側：
認証やメッセージの解析、スキーマ検証を行った後の最終地点となる。「Agents SDK」などのミドルウェアを用いることで、ツールごとの認可やレート制限の適用、引数の検査、実行結果のログ記録をツール実行直前に実施できる。
Cloudflareは、これらのアプローチのなかでもネットワーク層におけるプロトコルシグナルの検知を活用することで、シャドーMCPの早期発見と信頼できるポータル経由のアクセス制御を実現できると説明している。