公開MCPサーバー1.5万件の調査で審査体制の欠如が判明、未承認地域への送信や個人PC運用の実態も

要点

• セキュリティ企業のOX Securityが、公開レジストリ上のMCPサーバー15,465件を対象にした調査結果を発表した。

• マーケットプレイスに事前審査がなく、公開コードと異なる処理をバックエンドで実行可能な構造的課題が指摘された。

• 重複排除後のホスト名のうち15.6%が米国外に位置し、中国やロシアのインフラへの接続も確認された。

• 0.45%が個人PC等の環境で稼働し、2.3%で名前解決不能や失効ドメインの放置が判明した。

• 企業が培ってきたクラウド統制の枠外にMCP接続が置かれている実態が明らかになった。

• サイバーセキュリティ企業のOX Security（オックス・セキュリティ）は2026年10月6日、公開レジストリに登録された1万5,000件超のMCP（Model Context Protocol）サーバーを対象とした調査結果を発表した。調査によると、公開サーバーには事前審査や管理基準がほぼ存在せず、未承認地域へのデータ送信や放置ドメインの悪用といったリスクが放置されている実態が判明したという。AIと外部ツールの連携が急速に広がるなかで、利用者が無防備な信頼を寄せている現状に警鐘を鳴らす内容となっている。

審査体制の欠如と公開リポジトリへの過信

元記事によると、MCP（Model Context Protocol: AIモデルやエージェントをツールやデータに接続する標準規格）は2024年に登場して以来、急速に普及した。しかし、エコシステム全体の安全性には課題が多いという。OX Securityは今年初め、1億5,000万回以上ダウンロードされたAnthropicのMCPコードで重大な脆弱性を特定していたが、今回はユーザーが実際に導入するコミュニティ製サーバーを調査した。

主要5つのMCPレジストリを調査した結果、サーバーの登録に対する事前審査やガードレールは存在せず、誰でもサーバーを自由に公開できる状態だった。かつてGoogleがAndroidアプリ向けに導入した自動スキャナー「Bouncer」のような仕組みすらなく、セキュリティ対策は推奨にとどまっているという。

さらに、公開リポジトリのコード監査だけでは安全性を担保できない点も指摘された。リモートで稼働するMCPサーバーは、GitHubなどで公開された内容と全く異なるバックエンドコードを実行できる。そのため、公開コードを確認しても、実際にサーバー側で動いている処理内容までは保証できないと説明している。

データの送信先と未承認インフラへの接続

OX Securityは、5つのレジストリで公開インデックスされていた15,465件のMCPサーバーを収集し、重複を排除した5,095件のユニークなホスト名（ネットワーク上の端末を識別する名前）を分析した。その結果、通信先となるインフラの地理的な配置において複数のリスクが確認された。

ホスト名全体の15.6%がアメリカ合衆国外のインフラに名前解決されており、この中には中国のサーバー19件やロシアのサーバー18件が含まれていた。AIエージェントがこれらのサーバーに接続した場合、組織のセキュリティ部門が承認していない法域や国境を越えてデータが転送される恐れがある。

また、サーバーの所在地は後から変更される可能性もある。運用者が当初は米国内のクリーンなIPアドレス（ネットワーク上の住所）で立ち上げ、その後にトラフィックの送信先を別の場所へ切り替えることも技術的に可能であると元記事は指摘している。

個人端末での稼働と放置されたドメインの悪用リスク

インフラの運用実態では、サーバー全体の0.45%が無料版のngrokなどコンシューマー向けトンネリングサービス（ローカル環境の端末を外部のインターネットに中継・公開する通信サービス）を経由していることが判明した。これは、公開サーバーが開発者の私用PCや家庭内ネットワーク上で動作していることを意味する。

さらに、全体の2.3%にあたるサーバーでドメインの名前解決ができない状態となっており、そのうち6件はドメイン登録がすでに失効していた。年間4〜12ドル程度で誰でも再取得可能な状態であり、第三者が取得した場合は過去のサーバー同一性を引き継ぐことができる。その結果、該当サーバーを呼び出す設定が残ったエージェントからのリクエストを、新たな所有者がそのまま受信できてしまう危険性があるという。

企業のクラウド統制との乖離

元記事では、企業がクラウド導入で築いてきたガバナンス体制と、MCPの利用実態に大きな乖離があると指摘している。企業はデータレジデンシー（データの地理的所在に関する規制遵守）やゼロトラスト（すべての通信を検証する境界防御）、厳格なIAM（ID・アクセス権管理）、サプライチェーン監査を運用してきたが、MCP接続はその枠外に置かれがちだという。

OX Securityは、問題の本質はプロトコル自体ではなく無防備な信頼にあると結論づけている。マーケットプレイスに審査やコード署名、発信元検証の仕組みが導入されるまでは、企業側が個別に検証を行う必要があると元記事は伝えている。

補足

MCPはAIツール連携の標準として定着しつつあるが、公開エコシステムの安全性確保は個々の利用組織に委ねられているのが現状である。