技術・トレンド

社内データや外部ツールをAIに操作させる前に

なぜ今、AIエージェントの安全面が問われるのか

これまでの生成AIは、主に「質問に答えるAI」でした。AIエージェントは、指示を受けてファイルを読み、メールを送り、社内システムを操作する「操作するAI」です。

チャットに入力するだけでも、情報の管理は必要です。そのうえで、ファイルの読み込みやWeb閲覧、外部サービスとの連携を使い始めると、AIが自分で情報を取りに行き、操作もするようになります。確かめることが増えるのは、ここからです。MCPは、こうした連携を共通の方式でつなぐための規格です。

導入前に押さえたいリスク

次の6つは、OWASP（ソフトウェアの安全性に取り組む国際的な非営利団体）の「OWASP Top 10 for LLM Applications 2025」と、MCPの仕様・安全面の資料をもとに、導入する側が確かめる順に当社が整理したものです。起きる頻度の順ではありません。

1. AIへの指示の乗っ取り（プロンプトインジェクション）

Webページやファイル、つないだツールの説明文や返ってくる結果に紛れた指示を、AIが本来の指示と区別できずに従ってしまうことがあります。OWASPは、確実に防ぐ方法があるかは分からないとしています。被害を小さくする工夫が欠かせません。

（当社製品の事例ではない、一般的な架空の例）ある企業が、自社の店舗の売上データの集計をAIエージェントに頼んだとします。このAIにはメール送信の機能も持たせていました。AIは読み込んだ資料に紛れた不正な指示に従い、集計結果を社外に送ってしまうことがありえます。この例では、資料の中の指示に従ってしまうことに加えて、集計には要らない送信の機能を持たせ、送信先の制限や実行前の承認がなかったことが、情報の持ち出しにつながります。

2. 機能・権限・自律実行の与えすぎ

必要以上の機能や権限を持たせ、重要な操作を確認なしに実行させると、誤作動したときの被害が大きくなります。これとは別に、AIが作った文を確かめないまま、データベースの命令やコマンドとして実行してしまう問題もあります。

3. つなぐ先・構成要素の信頼性

外部のMCPサーバや、手元の端末で動かすMCPサーバは、提供元や更新の経路が信頼できないと、それ自体が攻撃の入口になります。MCPサーバの先につなぐ外部サービスも、提供元が信頼できるかを確かめる対象です。端末で動かすMCPサーバは、起動したアプリの権限で、ファイルや通信先にアクセスできる場合がある点にも注意が必要です。

4. 情報の持ち出し

AIに渡した情報や、AIが読み取った情報が、回答や送信を通じて外へ出ることがあります。AIサービスの規約によっては、入力が学習に使われたり、一定期間保存されたりします。

5. 認証情報（鍵）の扱い

つなぐ先にログインするための鍵（APIキーやトークン）を、複数の人で共有して広い権限のまま使っていると、漏れたときの被害が大きくなります。

6. 記録と監視

誰が、どのツールを、いつ使ったかが残っていないと、異常の発見や原因の追跡が難しくなります。記録を残すだけでなく、異常を知らせる仕組みも必要です。呼び出しが増えすぎて、費用がかさんだりサービスが止まったりすることもあります。

導入の前に決めておくこと

まずは試行（PoC）として、ダミーや機密でないデータと、読み取りに限った権限から始めます。MCPの安全面の資料（実装する人向け）も、最初は読み取りなどの危険の少ない操作に限った権限から始め、必要になった時点で広げる方法を勧めています。導入する側も、同じ考え方で始められます。

1. 業務とデータの範囲：どの業務に、どのデータを使うかを先に決めます。
2. 権限は最小に：必要な機能と権限だけを渡します。禁止事項をAIへの指示に書くだけでなく、つなぐ先のシステムの側でも、利用者やデータごとに制限します。AIの出力は、受け取るシステムの側で、形式が正しいか、許された処理かを確かめ、そのまま命令として実行しません。
3. 同意と承認：使い始める前に、触れるデータ・つなぐ先・許可する操作の範囲を確認して同意します。送信・削除・支払いなどは、対象・宛先・実行内容を見て人が承認します。
4. つなぐ先の確認：外部のサービスは、提供元、認証の方式、許可する通信先と、利用者ごとに操作やデータを制限できるかを確かめます。端末で動かすものは、入手元と実行権限を確かめ、触れるファイルと通信先を制限します。ツールの一覧や説明文が変わったら、改めて承認します。
5. 認証情報の管理：鍵は個人ごと・用途ごとに分けて権限を絞り、失効の手順を決めます。鍵をAIへの指示や共有の設定ファイルに書き込まないようにします。
6. 記録と監視・上限：操作の記録を残し、記録そのものも機密として扱います。異常を知らせる通知先を決め、費用や呼び出し回数の上限と、上限に達したときの止まり方を決めます。
7. 契約・規約：入力したデータが国外に送られるか、学習に使われるか、どれだけ保存されるかを、契約と規約で確かめます。
8. 事故時の対応：異常に気付く方法、止める人と止め方（鍵の失効・接続の遮断）、止めた後に再開するかの判断を決めておきます。
9. 社内ルール・教育：既存の情報セキュリティ規程への追記で足りるかを確かめます。社員が個別に使っているAIツールも把握します。

チェックリスト（決裁の前に）

このチェックリストは確認の出発点であり、安全を保証するものではありません。分からない項目は「はい」にせず、担当と期限を決めて確かめてください。

• AIエージェント：指示を受けて、ファイルの読み書きやシステムの操作まで行うAI
• MCP・MCPサーバ：AIと外部のツールやデータをつなぐ接続規格の一つと、その規格でAIにツールやデータを提供する側の仕組み
• 認証情報：つなぐ先にログインするための鍵（APIキー・トークンなど）
• ログ：誰が、いつ、何をしたかの記録

レイ・フロンティアの考え方

レイ・フロンティアは、セキュリティの専門会社ではありません。そのうえで、位置・行動データとAIのサービス開発では、扱うデータと利用目的、同意や権限、AIに渡す情報の範囲を、システムの構成を検討する段階で整理しています。このチェックリストも、その整理の考え方をもとにまとめました。

代表の田村 建士は、2025年11月から八幡平市 DX戦略統括アーキテクト、2026年から総務省アドバイザー（地方公共団体の経営・財務マネジメント強化事業／DX関係）、2026年9月から岩手町AI推進アドバイザーを務め、自治体の生成AI利用ガイドラインの整備や職員研修にも携わっています（会社概要）。「導入の前に決めておくこと」の「社内ルール・教育」は、こうした現場で必要になる項目です。

参考資料

• 情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026」（2026年1月29日公開）
• OWASP GenAI Security Project（OWASP Foundation）「OWASP Top 10 for LLM Applications 2025」（LLM01 Prompt Injection、LLM02 Sensitive Information Disclosure、LLM03 Supply Chain、LLM05 Improper Output Handling、LLM06 Excessive Agency、LLM10 Unbounded Consumption）。本記事の該当部分は、OWASP の資料の考え方をもとに当社の言葉で整理したもので、翻訳・転載ではありません（OWASP の資料のライセンス：CC BY-SA 4.0）。
• Model Context Protocol 仕様（2026-07-28版）「Security and Trust & Safety」
• Model Context Protocol 「Security Best Practices」（2026-07-28版）

本記事は一般的な情報の整理であり、個別の環境での安全性を保証するものではありません。内容は2026年10月時点のものです。