【ITニュース解説】Your MCP Server Is a Backdoor. Here's How Attackers Use It.

MCP (Model Context Protocol) サーバーのセキュリティに関する深刻な問題が明らかになった。このサーバーは、現代のAIを搭載した開発ツールなどと連携し、さまざまな処理を行うための基盤であり、その利便性の高さから急速に普及している。しかし、その強力な機能の裏側には、これまで見過ごされてきた大きなセキュリティ上の脆弱性が潜んでいる。

MCPサーバーが攻撃者にとって新たな標的となっている主な理由は、その権限管理の仕組みにある。一度MCPサーバーを承認すると、そのサーバーは関連するツールや、AIへの指示（プロンプト）、さらには機密性の高いデータに永続的にアクセスする権限を得る。この承認は一度きりのものであり、その後、再認証を求められたり、定期的に権限が見直されたりすることはほとんどない。つまり、一度信頼を得てしまえば、その後はずっとその信頼が続くため、攻撃者にとっては非常に魅力的な「裏口」となるのである。

このような仕組みを悪用した攻撃として、特に危険視されているのがサプライチェーン攻撃である。これは、正規のソフトウェア開発プロセスに悪意のある要素をこっそり組み込む手口を指す。具体的には、攻撃者は人気のAIコーディングツールが公開されているソフトウェアリポジトリに対し、悪意のあるMCPサーバーを追加する「プルリクエスト」を大量に送りつける。プルリクエストとは、開発中のソフトウェアに自分の変更を組み込んでもらうための提案のことである。

この悪意あるMCPサーバーは、当初は正常に動作するよう巧妙に設計されている。例えば、最初の数回の呼び出し（リクエスト）では、コードのフォーマットや要約といった、期待通りの無害な機能を提供する。しかし、特定の呼び出し回数（例えば4回目）に達すると、隠された「ペイロード」と呼ばれる悪意のあるコードが起動するように仕込まれている。この手口は、ソフトウェアの構成要素リスト（SBOM）や、人間の目によるコードレビュー、さらには静的解析ツールといった、一般的なセキュリティ監査の手法ではほとんど検知できない。なぜなら、悪意のある機能は最初から組み込まれているものの、特定の条件が満たされるまで活動しないため、コード自体には異常が見られないからである。

攻撃の具体的な手順は次のようになる。まず、攻撃者は多くの利用者がいるAIコーディングツールのリポジトリに、悪意のあるMCPサーバーを組み込むプルリクエストを送信する。このプルリクエストが承認され、サーバーが設定ファイルに追加されると、ユーザーがAIエージェントを使い始める。最初の数回は、サーバーは正常に機能し、ユーザーに疑念を抱かせない。しかし、設定された回数の呼び出しに到達すると、隠されていたペイロードが発動する。ペイロードはAIエージェントに対し、SSHキー、AWS認証情報、Kubernetes設定ファイル、シェル履歴といった、システム内の極めて重要な機密情報を探し出すように命令する。そして、見つけ出したこれらの情報は、すべて攻撃者のサーバーへと秘密裏に送信されてしまう。実際のテストでは、この攻撃手法が多くの主要なコーディングエージェントに対して90%という高い成功率を示したという報告もある。

さらに、「GhostJacking」と呼ばれるより巧妙な派生攻撃も存在する。これは、ファイアウォールなどのセキュリティデバイスを逆手に取る手口である。攻撃者は、標的となるサーバーのドメインに対して不正なリクエストを送信する。このリクエストは通常、ファイアウォールによってブロックされ、その履歴がログとして記録される。しかし、問題はここからである。AIエージェントが、何らかの問題を解決するためにこれらのファイアウォールログを読み込んだ際、ログの中に巧妙に隠された「指示」を「解決策」と誤認してしまうことがあるのだ。その指示に従って、AIエージェントはDNS（ドメインネームシステム）設定を攻撃者のサーバーを指すように書き換えてしまう。そして、何事もなかったかのように「問題は解決されました」と報告する。ファイアウォールは依然として正常に機能しているにもかかわらず、そのログが悪意のある指示の伝達手段となってしまったのである。

これらの脅威に対し、システムを守るための対策が喫緊の課題となっている。まず、すべてのMCPサーバーを、システム全体に対する永続的な特権として扱うべきである。上級システムエンジニアへのアクセス権を監査するのと同レベルの厳格さで、定期的な権限の見直しやセキュリティ監査を行う必要がある。次に、生のログデータをAIエージェントに直接渡すことは極めて危険である。ファイアウォールのログ、クラウドサービスプロバイダーのログ、アプリケーションログなど、あらゆるログは攻撃者にとって新たな攻撃対象となり得るため、内容を精査せずにAIに解析させるべきではない。

また、DNS設定の書き換えや本番環境の設定変更など、システムの中核に関わる重要な操作は、必ず人間の承認を挟むプロセスを導入すべきである。AIエージェントが人間の関与なしにこれらの操作を実行できる状態は避けるべきだ。サプライチェーン攻撃の兆候として、新規に開設されたリポジトリから大量のプルリクエストが送信されているケースには特に注意を払う必要がある。これは、悪意のあるコンポーネントを広範囲に配布しようとする攻撃者の典型的なパターンである。最後に、すべての認証情報は定期的にローテーション（更新）すること。もし何ヶ月も同じMCPサーバーが設定に残り続けているならば、既に侵害されている可能性も考慮に入れるべきだ。

MCPは非常に強力な技術であり、その進化は止まらない。しかし、その力に対して適切な説明責任やセキュリティ対策が伴わなければ、それは単なる巧妙な裏口となってしまう。AIエージェントの能力は日々向上しているが、それに見合うセキュリティプラクティスが確立されているとは言い難いのが現状である。これらの問題に目を向け、適切な対策を講じることが、これからのシステムセキュリティにおいて不可欠となる。