『96.89%が危険』と出たMCPスキャナーの警告のうち、本物は半分未満だった

AIエージェントが外部ツールと接続するための標準規格として広まったModel Context Protocol(MCP)は、別記事で解説した通り、特定ベンダーに縛られない開放的な規格であることが強みだ。だが開放的であるということは、誰でもMCPサーバーを公開できるということでもある。2026年に入ってから、この「誰でも作れるMCPサーバー」の安全性を測定・検出・防御しようとする論文がarXivに相次いで投稿されている。5本を横断して読むと、研究の重心が「攻撃を分類する」段階から「大規模に実測する」段階へ移りつつあることが見えてくる。

3行まとめ

1. 2026年7月投稿の研究は、静的リポジトリを実際に動く状態に変換した64,611台のMCPサーバー(データセット名MCPZoo)を構築し、既存スキャナーが「96.89%が危険」と報告する一方、手作業で確認した警告の真陽性率は50%未満だったと報告している。
2. 別の研究は、悪意あるMCPサーバーの攻撃を12カテゴリに分類する分類体系を提示し、「攻撃者はほぼ無料で大量の悪意あるサーバーを生成できる」と警告している。
3. 検出・防御側の提案も複数出ている。component単位で挙動の逸脱を追う「Connor」はF1スコア94.6%、ツールの説明文自体にセキュリティ意識を持たせる「SPELLSMITH」、3段階パイプラインで防御する「MCP-Guard」(敵対的プロンプト識別96.01%)がそれぞれ独立に提案されている。

スキャナーの警告のうち、本物はどれだけあるのか

2026年7月13日にarXivへ投稿された論文「Rethinking MCP Security」は、この分野で最も踏み込んだ実測をしている。問題意識は明快だ。

"In practice, due to the absence of large-scale runtime MCP servers, such understanding largely relies on security scanners applied to a small number of cases, yet the reliability of these assessments remains unclear." （「実際には、大規模に稼働しているMCPサーバー群が存在しないため、こうした理解の多くは少数の事例に適用されたセキュリティスキャナーに依存しているが、その評価の信頼性は明らかになっていない」）

著者らは、静的なリポジトリを人間の専門家が行うようにビルド・診断・反復修復して動的サービスへ変換するマルチエージェントの枠組みを組み、「MCPZoo」というデータセットを作った。

"MCPZoo contains 64,611 unique MCP servers (113,927 in total), with more than 37,288 supporting dynamic analysis." （「MCPZooは64,611台のユニークなMCPサーバー(延べ113,927台)を含み、そのうち37,288台以上が動的解析に対応している」）

このデータセットに既存のセキュリティスキャナーを適用したところ、結果は次のようになった。

"While existing scanners report that 96.89% of servers are risky, we find that these signals are unreliable. In particular, manual validation shows that less than 50% of sampled alerts are true positives, and scanner outputs exhibit clear inconsistency across scanners." （「既存のスキャナーはサーバーの96.89%が危険だと報告する一方、我々はこれらのシグナルが信頼できないことを発見した。特に、手作業での検証では、サンプルとして抽出した警告のうち真陽性は50%未満であり、スキャナー間で明らかな不一致が見られた」）

MCPの安全性を語る際によく引用される「ほとんどのサーバーは危険」という種類の統計そのものが、測定方法によって大きく揺れうるという指摘だ。

「攻撃者側」を12カテゴリに分類した先行研究

一方、2025年9月29日投稿の「When MCP Servers Attack」は、MCPサーバーを能動的な脅威主体として扱った最初の体系的研究だと自称している。

"we present the first systematic study that treats MCP servers as active threat actors and decomposes them into core components to examine how adversarial developers can implant malicious intent... Our study proposes a component-based taxonomy comprising twelve attack categories." （「我々はMCPサーバーを能動的な脅威主体として扱い、コアコンポーネントに分解して、悪意ある開発者がどのように悪意を埋め込めるかを検証する初の体系的研究を提示する。……本研究はコンポーネントに基づく12カテゴリの攻撃分類体系を提案する」）

さらに、攻撃の実現コストについてこう警告する。

"We further show that attackers can generate large numbers of malicious servers at virtually no cost. We then test state-of-the-art scanners on the generated servers and found that existing detection approaches are insufficient." （「攻撃者はほぼ無料で大量の悪意あるサーバーを生成できることも示す。生成したサーバーに最先端のスキャナーを適用したところ、既存の検出手法は不十分であることがわかった」）

「量産できる」「既存の検出は不十分」という2つの発見が、前段のMCPZoo論文が実測した「スキャナーの真陽性率が低い」という結果と符合する。

5本の数字を並べる——測定土俵はバラバラ

5本のアブストラクトを実際にarXivで開き直し、投稿日・評価対象・主要な数字を並べると次のようになる。

MCPZoo論文はさらに、この測定を継続的に使えるようにする狙いからか、アブストラクトの末尾で「MCPサーバーの実践的なリスク評価を支援するため、公開の照会インターフェースを提供する」とも述べている。実測データを1回の論文発表で終わらせず、外部から参照可能な形で公開する方針だと読める。

コンポーネント単位で追跡する検出手法「Connor」

2026年4月投稿(5月改訂)の「From Component Manipulation to System Compromise」は、攻撃を「観測できる結果」ではなく「MCPサーバーのどの構成要素が操作されたか」という視点で捉え直す。114台の悪意あるMCPサーバーからなるPoCデータセットを構築し、2つのMCPホストと5つのLLMにわたって攻撃の有効性を評価した上で、検出手法「Connor」を提案している。

"Connor achieves an F1-score of 94.6%, outperforming the state of the art by 8.9% to 59.6%. In real-world detection, Connor identifies two malicious servers." （「Connorは94.6%のF1スコアを達成し、既存最高水準を8.9〜59.6ポイント上回った。実世界での検出では、Connorは2台の悪意あるサーバーを特定した」）

「実世界で2台を特定した」という具体的な数字は、ベンチマーク上のスコアだけでなく実運用での効果を示そうとした跡が見える一方、母数(何台をスキャンしてその2台に至ったか)はアブストラクトからは読み取れない。

防御側の2つのアプローチ:説明文を強化する、多段でふるいにかける

検出でなく緩和・防御に軸足を置いた研究も2本ある。2026年7月投稿の「Mitigating Taint-Style Vulnerabilities in MCP Servers」は、MCPサーバーの脆弱性のうち「taint-style(汚染データが検証されないまま危険な操作に流れ込む型)」が大きな割合を占め、修正に大きなコード変更が必要で、コミュニティの対応も遅いと指摘した上で、ツールの説明文(Description)自体にセキュリティ的な振る舞いのガイダンスを埋め込み、LLMの自己反省能力を使って出力を反復的に見直させる「SPELLSMITH」を提案している。コードレベルの修正に頼らない、テキストベースの緩和策という位置づけだ。

もう1本、2025年8月投稿(2026年1月に第4版へ改訂)の「MCP-Guard」は、軽量な静的スキャン→意味的攻撃を狙うディープニューラル検出器→ファインチューニング済みE5ベースモデルという3段階のパイプラインで防御する。

"our fine-tuned E5-based model which achieves 96.01% accuracy in identifying adversarial prompts... we introduce MCP-ATTACKBENCH, a comprehensive benchmark comprising 70,448 samples augmented by GPT-4." （「我々のファインチューニング済みE5ベースモデルは、敵対的プロンプトの識別において96.01%の精度を達成する。……我々は、GPT-4で拡張した70,448サンプルからなる包括的ベンチマークMCP-ATTACKBENCHを導入する」）

改訂がv4まで重ねられていることから、この分野の防御手法自体もまだ発展途上にあることがうかがえる。

5本の数字は前提条件が違いすぎて単純比較できない、と念押ししておく

5本のアブストラクトを続けて読んでいて気づいたのは、「MCPセキュリティ」という同じ看板を掲げていても、評価対象・攻撃モデル・評価指標がまるで揃っていないことだった。この記事で紹介した5本は、それぞれ評価対象・攻撃モデル・評価指標が異なる。MCPZoo論文の「96.89%対50%未満」は既存スキャナー全般の信頼性についての実測、Connorの「94.6%」は自分たちが構築した114台のPoCデータセットに対するF1スコア、MCP-Guardの「96.01%」はMCP-ATTACKBENCHという自作ベンチマークでの精度で、これらの数字を並べて「どの手法が優れているか」を比較することはできない。同じ「MCPセキュリティ」というテーマの中でも測定の土俵が揃っていない、という点自体がこの分野の未成熟さを示しているとも言える。

またこの記事はいずれの論文についても、著者らのコードを実際に動かして再現検証したわけではなく、arXivに掲載されたアブストラクトおよび本文の記述をもとにしている。MCPを狙う具体的な攻撃シナリオについては、時間差で信頼を裏切る攻撃「TrustShift」を扱った別記事も参照してほしい。

関連記事

• MCPとは──AIとツールをつなぐ共通規格
• MCPサーバーは最初だけ「良い子」でいる──信頼を積んでから裏切る攻撃『TrustShift』
• AIセキュリティリスク