セキュリティとガバナンス

MCPセキュリティ強化チェックリスト：1,467台の露出サーバーとそれらを閉じるコントロール

著者：IdeaBosque最終更新：2026年7月27日

更新 — 2026-08-18：OWASP GenAI MCP Server Security Baseline、MCP Project Sandboxing Baseline、MCP Ruby SDKとファイルサーバーのバグ—3つの新標準と新CVEクラス

3つの開発が2つの新しいMCPセキュリティ標準と新しいCVEクラスを追加します：OWASP GenAI開発ベースライン、MCP Projectデプロイメントベースライン、Ruby SDKおよびファイルサーバーのバグ。

OWASP GenAI MCP Server Security Baseline（8月18日）—開発制御。 セキュアなMCPサーバー開発の実践ガイド。OWASP MCP Top 10（リスクカタログ）とMCP Project Sandboxing Baseline（デプロイメント制御）と共に階層型MCPセキュリティフレームワークを形成。
MCP Project Sandboxing Baseline（8月16日）—spec著者によるデプロイメント制御。 MCP Projectがスポーンプロセスのサンドボックス化またはコンテナ化を要求するセキュリティベストプラクティスを公開。
MCP Ruby SDKおよびファイルサーバーのバグ（8月16日）—新CVEクラス。 Ruby SDKのDoSと不十分なパス検証によるファイル開示。MCP CVEカタログは現在Python、TypeScript、Java、Ruby、C# SDKに及ぶ。MCP Module Code Standardを参照。

更新 — 2026-08-17：CVE-2026-75011 NetForensicMCP と Forcepoint データ露出制御次元

2つの発展がこのチェックリストを拡張する：新しいSTDIOコマンドインジェクションCVEと、新しい制御次元 — データ露出 — をForcepointがMCPセキュリティの第一級関心事として再枠組みした。

CVE-2026-75011 — NetForensicMCP 2.1.0 コマンドインジェクション。 根本原因：CISA KEV CVE-2026-42271やOX Security Family 1と同じSTDIOコマンドインジェクションクラス。Control 1（ツール登録 — すべての入力をサニタイズ）とControl 7（STDIOハードニング — コマンド文字列にユーザー制御入力なし）で閉じられる。
Forcepoint データ露出の再枠組み — 新しい制御次元。 「認証はドアを修正するが、データではない。」Postmark MCPバックドアはデータ露出インシデントとして再文脈化される。4つのガバナンス質問：(1) エージェントは直接認証情報か仲介型か？(2) 強制はフィールドレベルかアプリケーションレベルか？(3) 高リスクアクションに人間のゲートがあるか？(4) 完全な帰属トレイルがあるか？

Trend Microがインターネットをスキャンし、1,467のMCPサーバーが認証なし・暗号化なし・誰でもアクセス可能な状態で公開されていることを発見した。Practical DevSecOpsは調査した2,614サーバーの82%がパストラバーサルに対して脆弱であることも発見した。AIエージェントをエンタープライズシステムに接続するために設計されたプロトコルがプロダクションセキュリティのベースラインなしで出荷され、デプロイパターンがそれを裏付ける：ほとんどのチームはMCPを強化する前にインターネットに晒していた。このチェックリストが先に来るべきだったベースラインである——トランスポート、認証、ツール登録、ランタイム、監査にわたる12のコントロールであり、MCPサーバーが本番トラフィックに触れる前に5分未満でそれぞれ検証できる。

重要なポイント

1,467のMCPサーバーが認証も暗号化もなしで公開アクセス可能 — Trend Microの修正スキャン、2026年7月。そのうち1,227が2026-07-28仕様が12ヶ月の非推奨クロックで退役させるSSEトランスポートを実行しています。
2,614の調査MCPサーバーの82%がパストラバーサルに対して脆弱であり、OAuthを使用するのはわずか8.5% — Practical DevSecOps MCP Security Statistics 2026 Report。攻撃クラスはデプロイされたサーバーで広範に存在し、理論的ではありません。
2026年7月に公式MCP Python SDKに3つのCVEが上陸 — CVE-2026-59950（DNS rebinding/CSRF）、CVE-2026-52869（未検証のセッションリクエスト）、CVE-2026-52870（オープンタスクハンドラ）。参照実装はそれが支えるコミュニティサーバーと同じクラスの欠陥を出荷しました。
5つのMCPサーバーが1つのエージェントに接続すると78.3%の攻撃成功率 — Palo Alto Networks Unit 42。5つのサーバーは大規模なデプロイではありません。典型的なものです。OX Securityは150M+のダウンロードに影響するアーキテクチャレベルのRCEを特定し、Cloud Security AllianceはMCPセキュリティをシステム設計欠陥問題として分類しました。
MCP 2026-07-28仕様が2026年7月28日に最終版として公開 — 4つのTier 1 SDK（TypeScript、Python、Go、C#）が新しいステートレスコアを公開日にサポートし、SSEトランスポートに12ヶ月の非推奨ポリシーを伴います。移行と強化は同じ作業です。
Deadbugzはランタイムそのものを攻撃面に変える：メタデータポイズニングはサーバーを信頼するまで待つ — Pillar Securityは2026年9月23日、活動中のMCPサプライチェーンキャンペーンを開示しました。74分で23件のプルリクエストが「productivity-suite」サーバーを提示しており、このサーバーは3回のツール呼び出しの間は正常に振る舞い、その後ツールメタデータを書き換えてSSH鍵、AWS認証情報、シェル履歴、Kubernetes設定を探索させます（Pillar Security）。承認時点のスキャンには見えません — 下記の2026-09-30更新を参照。

このチェックリストの12のコントロールに合格する本番MCPデプロイは無敵ではありません——システムはありません——が、Trend Microが発見した、Practical DevSecOpsがスキャンした、または7月のCVE波が捕らえた集団にはもういません。チェックリストは各コントロールを、それが対処するOWASP MCP Top 10カテゴリ、それが防ぐCVEまたは露出、およびオペレータが5分以内に実行できる検証ステップにマッピングします。Microsoft Agent Governance Toolkit——10/10のOWASP MCP Top 10カバレッジを持つ最初のハイパースケーラー出荷のオープンソースガバナンスランタイム——が参照実装です。この記事は運用上の補完です：MCPサーバーを本番トラフィックに露出する準備をするエンジニアリング責任者またはプラットフォームリード向けの、スキャン可能な強化レビュー。

更新 — 2026-08-07：Black Hat 2026 MCPサーバー発見製品 — Cyera、SailPoint、Check Point

完全なBlack Hat 2026製品インベントリ（crn.com、2026年8月4日）は、コントロール12（シャドーサーバー検出）とこのチェックリストのMCPサーバー発見性およびガバナンスディメンションに直接対応する3つの製品を追加します。

Cyera Agent Guardian — シャドーMCPサーバー発見。 CyeraはAgent Guardianをローンチし、企業全体のシャドーMCPサーバーと未承認AIエージェントを発見します。コントロール12について、Cyeraはインベントリおよびドリフト監視パターンの製品化バージョンです：MCPサーバーインベントリを手動で維持する代わりに、Cyeraは本番のMCPサーバーを自動的に発見します — 登録されたことのないものも含めて。Trend Microが発見した1,467の露出サーバーはインターネット向けです；Cyeraは内部のサーバーに対処します。
SailPoint Identity Security — MCPサーバーアイデンティティガバナンス。 SailPointはIdentity Securityプラットフォームを拡張し、MCPサーバーアイデンティティをカバーしました。コントロール4について、SailPointはMCPサーバーを管理対象アイデンティティタイプとして追加します — 各MCPサーバーは人間のアイデンティティと同じガバナンスインフラストラクチャで管理されるライフサイクルを持ちます。
Check Point AI Network Firewall — MCP通信監視。 Check PointはAI Network Firewallをローンチし、ポリシー違反とデータ持ち出しについてMCPトラフィックを監視します。コントロール9について、Check Pointはネットワークレイヤーの実施を追加します：MCPレスポンスを通じてデータを持ち出そうとするツールサーバーはファイアウォールで捕捉されます。

MCPセキュリティ製品カテゴリは現在、シャドーサーバー発見（Cyera）、アイデンティティガバナンス（SailPoint）、ネットワークレイヤー監視（Check Point）の専用ベンダーを持ちます — このチェックリストの12のコントロールが対応するが以前はカスタムビルドが必要だった3つのサーフェス。

攻撃面、数値で

OWASP MCP Top 10（Beta Release v0.1、Phase 3 of 5）はMCP対応システムライフサイクル全体にわたる10の命名リスクリカテゴリをカタログ化します。その背後の数字が「ガバナンスは良い実践」を「ガバナンスは本番ゲート」に変えます：

1,467の露出サーバー — Trend Microの修正スキャンは認証も暗号化もない1,467の公開アクセス可能なMCPサーバーを発見し、初期カウント492から増加。1,227が非推奨のSSEトランスポートを実行。少なくとも3つがprogress_noteツール経由で患者の医療記録を露出。execute_sqlツールが70ホストに登場。
82%のパストラバーサル露出 — Practical DevSecOpsは2,614の調査サーバーで82%のパストラバーサル脆弱性と8.5%のOAuth採用を測定。97M+の月間MCPダウンロードは露出が採用と共にスケールすることを意味します。
150M+のダウンロードがアーキテクチャRCEの影響 — OX SecurityはSTDIOコマンドインジェクションの根本原因を、孤立したCVEではなくアーキテクチャレベルの欠陥として枠付けしました。Cloud Security AllianceはこれをAIエージェントインフラのシステム設計欠陥問題として分類しました。
2026年7月のSDKに3つのCVE — CVE-2026-59950（Host/Origin検証の欠落、DNS rebinding/CSRF）、CVE-2026-52869（未検証のセッションリクエスト）、CVE-2026-52870（オープンタスクハンドラ）。公式Python SDK——すべてのPython MCPサーバーが継承する参照実装——はそれが支えるコミュニティサーバーと同じクラスの欠陥を出荷しました。
最終仕様の3つの新しい攻撃面 — backslash.securityは2026-07-28仕様のステートレス再設計によって導入された3つの新しい攻撃面を特定しました。新しい機能は新しいエントリポイントを作り、セキュリティコミュニティはまだマッピング中です。

cataam.com分析はMCPセキュリティの現状を正確に枠付けします：「MCPセキュリティはおよそ15年前のWebセキュリティがあった場所にあります——攻撃は古く、ターゲットだけが新しい。」以下の強化チェックリストは、Webセキュリティを82%のパストラバーサル露出から本番システムが合格することが期待されるベースラインに移動させたコントロールのセットです。同じコントロールがここに適用されます。

12の強化コントロール

チェックリストはOWASP MCP Top 10とMCP 2026-07-28仕様変更にマッピングする5つのレイヤーで構成されます：

レイヤー 1 — トランスポートとネットワーク

コントロール 1：SSEからStreamable HTTPへの移行。 MCP 2026-07-28仕様は2026年7月28日に最終版として公開され、HTTP+SSEトランスポートに12ヶ月の非推奨ポリシーを伴います。4つのTier 1 SDK（TypeScript、Python、Go、C#）は公開日に新しいステートレスコアをサポートし、破壊的変更の移行ノートを伴います。Trend Microのスキャンにある1,227の非推奨SSEサーバーは最も影響を受ける集団です——それらは仕様が退役させているトランスポートを実行しています。**検証：**サーバーのトランスポート設定を確認します。SSEを提供する場合、非推奨クロックに入っています。12ヶ月のウィンドウが閉じる前にStreamable HTTPに移行してください。

コントロール 2：ネットワーク分離とオリジン検証。 CVE-2026-59950——National Vulnerability Databaseで確認済み——は公式MCP Python SDKのHost/Origin検証欠落の欠陥です。被害者が訪問するWebページがDNS rebindingとCSRF経由でローカルMCPサーバーを駆動できます。ブラウザが攻撃者の、オペレータがプライベートと信じたループバックサーバーへのプロキシになります。**検証：**サーバーがすべてのリクエストでHostとOriginヘッダーを検証することを確認します。サーバーがインターネット向けの場合、信頼できないオリジンからの直接アクセスを防ぐネットワーク境界の背後にあることを確認します。公共インターネットから到達できるべきでなかったサーバーは、公共インターネットからアクセス可能であってはなりません。

レイヤー 2 — 認証とアイデンティティ

コントロール 3：OAuth 2.1 + OIDCの強制。 2026-07-28仕様はOAuth 2.1とOpenID Connectを必須にします——以前の「独自トークン持ち込み」アプローチからの転換です。WorkOSの認証移行ガイドが要件を詳述します：RFC 8707（Resource Indicators）でサーバー間のトークンリプレイを防止、Client ID Metadata DocumentsがDynamic Client Registrationを置き換え、issuer検証（RFC 9207）。Practical DevSecOpsの発見——調査サーバーのわずか8.5%がOAuthを使用——がこのコントロールが引き上げるベースラインです。**検証：**サーバーの認証設定を確認します。未認証リクエストを受け入れる、またはOAuthなしの静的APIキーを使用する場合、不合格です。サーバーがRFC 8707 resource indicatorsを実装していることを確認します。

コントロール 4：エージェントアイデンティティ分離。 NIST AI Agent Standards Initiative（2026年2月）は、エージェントを独自のライフサイクルを持つ独立した非人間アイデンティティとして扱うことを提案します：プロビジョニング、アテステーション、失効。ほとんどのデプロイは人間ユーザーを認証し、そのアイデンティティをエージェントに渡します。エージェントがアクションを取ると、監査ログは人間が行ったと記録します。**検証：**各エージェントが人間オペレータとは別の独自のクレデンシャル（OAuthトークン、SPIFFE SVID）を持つことを確認します。エージェントアイデンティティの失効は、人間のアクセスに影響を与えずにすべてのエージェント呼び出しを停止するべきです。

レイヤー 3 — ツール登録とサプライチェーン

コントロール 5：ツールポイズニングスキャン。 OWASP MCP03はツールポイズニングをtop-10リスクとして指名します：rug pulls（信頼されたツールがインストール後に悪意あるバージョンへ更新）、schema poisoning（インターフェース定義自体がモデルを誤誘導するために破損）、tool shadowing（偽ツールが本物への呼び出しを傍受）。Microsoft Agent Governance ToolkitのMcpSecurityScannerはツールポイズニング、typosquatting、隠し指令を検出します——read_flie（read_fileのtyposquatting）という名前のデモツールが記述にインジェクションを持ち、85/100のリスクをスコアしました。**検証：**ツール登録プロセスを検査します。セキュリティスキャンなしでツールが登録される場合、不合格です。スキャンは記述のprompt injectionパターン、既知のツール名に対するtyposquatting、隠しシステムディレクティブをカバーする必要があります。

コントロール 6：署名付きプロビナンスと依存関係監視。 OWASP MCP04はサプライチェーン攻撃と依存関係改ざんをカバーします。Postmark MCPバックドア——野外で捕獲された最初の悪意あるMCPサーバー——は静かにメールを傍受しexfiltrateする正当に見えるnpmパッケージでした。レジストリレビューを通過しました。UpGuardの研究は15のMCPサーバーのうち1つが正当なサービスを偽装するように設計されたlookalikeであることを発見しました。**検証：**デプロイのすべてのMCPサーバーが署名付きプロビナンスレコードとAIBOM（AI Bill of Materials）インベントリを持つことを確認します。依存関係監視がアクティブで、依存ツリーの新しいCVEでアラートを出すことを確認します。

コントロール 7：STDIO強化。 OX Securityの開示はSTDIO設定で150M+のダウンロードに影響するアーキテクチャレベルのRCEを特定しました。根本原因：TypeScript SDKのshell: trueが設定文字列経由でコマンドインジェクションを有効にしました。Cloud Security Allianceはこれをシステム設計欠陥問題として分類しました。**検証：**サーバーがSTDIOトランスポートを使用する場合、shell: falseまたは同等の強化が設定されていることを確認します。コマンドallowlistがバイナリ名だけでなく引数をチェックすることを確認します——UpsonicとFlowiseのバイパス（CVE-2026-30625、CVE-2026-40933）はnpx -c <悪意あるコマンド>がバイナリのみをチェックするallowlistを通過することを示しました。

レイヤー 4 — ランタイムと実行

コントロール 8：レート制限。 各ツールは登録呼び出しで独自のレート制限を宣言します。バックボーンはエージェントごと、ツールごと、ウィンドウごとに制限を適用します。制限に達すると、エージェントはRetry-Afterヘッダー付きの429レスポンスを受け取ります。侵害されたエージェントはアップストリームAPIクォータを枯渇させません、レート制限がモジュール境界で適用されるためです。**検証：**すべての登録ツールにレート制限があることを確認します。制限がアップストリームAPIではなくモジュール境界で適用されることを確認します。レート制限のないツールは、侵害されたエージェントが無制限に呼び出せるツールです。

コントロール 9：コンテキスト境界。 OWASP MCP10はコンテキストインジェクションと過剰共有をtop-10リスクとして指名します。幅広いコンテキストアクセスを持つエージェントはテナント、セッション、またはユーザー間で情報を漏洩します——同じエージェントが異なるデータアクセス権を持つ複数の顧客にサービスするB2Bデプロイで特に懸念が高まります。**検証：**各ツールが特定の操作に必要なコンテキストのみを受け取ることを確認します。コンテキストウィンドウがすべてのツール間でグローバルに共有されるのではなく、ツールごとにスコープされることを確認します。単一フィールドが必要な時に完全なセッションコンテキストを受け取るツールはデータ漏洩面です。

コントロール 10：モジュールごとのkill-switch。 各MCPモジュールはオーケストレーションバックボーンに触れずに独立して無効化できる必要があります。kill switchはコードデプロイではなく設定変更です。脆弱性が開示された時——7月のCVE波が2週間で3つのSDK CVEと7+のサーバーCVEを開示したように——オペレータの最初の質問は：このモジュールをエージェントを停止せずに無効化できるか？ガバナンスされたデプロイでは、答えはイエスです。**検証：**各モジュールがfeature flagまたは設定変更経由で無効化できることを確認します。無効化パスがテストされていることを確認します——設定だけでなく。一度も実行されたことのないkill switchは、必要な時に失敗するkill switchです。

レイヤー 5 — 監査とテレメトリ

コントロール 11：コールごとの監査ログ。 OWASP MCP08は監査とテレメトリの欠如をtop-10リスクとして指名します。ツール呼び出しとコンテキスト変更のログがなければ、トークン盗難とインジェクションは不可視のままです。すべてのツール呼び出しはタイムスタンプ、エージェントID、ツール名、入力ハッシュ（生の入力ではなく——PII境界）、出力ステータス、持続時間、アップストリームシステムをログに記録する必要があります。ログはオブザーバビリティパイプラインに送信される構造化JSONです。**検証：**すべてのツール呼び出しが構造化ログエントリを生成することを確認します。ログが生の入力ではなく入力ハッシュを含むことを確認します。ログが不変であることを確認します——サーバーを侵害した攻撃者が監査トレイルを書き換えられません。

コントロール 12：シャドウサーバー検出。 OWASP MCP09はシャドウMCPサーバーをカバーします——ガバナンスに不可視の未承認または未監視デプロイ。UpGuardは15のMCPサーバーのうち1つがlookalikeであることを発見しました。間違ったmcp-server-postgress（タイプに注意）をインストールしたエンジニアは、静かにSSHキーと.envファイルをexfiltrateするパッケージを得ます。**検証：**デプロイのすべてのMCPサーバーのインベントリがあることを確認します。インベントリが既知の良好なパッケージのレジストリに対してチェックされることを確認します。インベントリにない新しいサーバーが現れた時にドリフト監視がアラートを出すことを確認します。

フレームワークがチェックリストにマッピングする方法

コントロール	OWASP MCP	Spec 2026-07-28	Microsoft AGT	NIST	CSA
1. SSE移行	—	12ヶ月非推奨	—	—	—
2. ネットワーク分離	MCP07	オリジン検証	—	—	—
3. OAuth 2.1 + OIDC	MCP07	必須認証	—	OAuth 2.0	—
4. エージェントアイデンティティ	MCP07	—	AgentMesh Identity	SPIFFE/SPIRE	—
5. ツールポイズニングスキャン	MCP03	—	MCP Security Gateway	—	—
6. 署名付きプロビナンス	MCP04	—	—	—	—
7. STDIO強化	MCP05	—	—	—	システム設計欠陥
8. レート制限	—	—	Policy Engine	—	—
9. コンテキスト境界	MCP10	—	Response sanitizer	—	—
10. モジュールごとのkill-switch	—	—	Hypervisor kill switch	—	—
11. コールごとの監査ログ	MCP08	—	Audit + metrics	—	—
12. シャドウサーバー検出	MCP09	—	—	—	—

単一のフレームワークが12のコントロールすべてをカバーしません。チェックリストはOWASP、仕様、Microsoft、NIST、CSAの交差点です——各フレームワークが他が欠くコントロールを貢献します。Microsoft Agent Governance ToolkitはOWASP MCP Top 10カテゴリの10/10をカバーし（7/10完全、3/10部分とロードマップ）、明示的なOWASPマッピングを持つ最初のハイパースケーラー出荷のオープンソースランタイムです——Agent OS Policy Engineに68テスト、MCP Security Gatewayに127テスト、kill switchを含むAgent Hypervisor Execution Controlに80テスト。

チェックリストのスコアリング

本番対応のMCPサーバーは12のコントロールすべてに合格します。部分的に対応したサーバーは8–11に合格します。8未満に合格するサーバーは、ドキュメント化された remediation プランと各失敗コントロールの目標日なしに本番トラフィックに露出されるべきではありません。

スコア	ステータス	アクション
12/12	本番対応	監視付きでデプロイ
8–11/12	部分的に対応	ドキュメント化された例外とremediationタイムライン付きでデプロイ
<8/12	未対応	デプロイしない。まず失敗したコントロールをremediateする

最も一般的な失敗パターンはコントロール1–4（トランスポート、認証、アイデンティティ）に合格しながらコントロール5–12（サプライチェーン、ランタイム、監査）に不合格になることです。最初の4つはアーキテクチャ的で設計レビューで注目を集めます。最後の8つは運用的で、インシデントや監査が表面化するまで見落とされます。2026年7月のCVE波——2週間で3つのSDK CVEと7+のサーバーCVE——は運用コントロールが不在の時に起こることです。

更新 — 2026-09-30：Deadbugzのランタイムゲート付きメタデータポイズニング — 承認時点スキャンを破る4番目のMCP攻撃クラス

Pillar SecurityがDeadbugzを開示したのは2026年9月23日です — 74分で23件のGitHubプルリクエストを提出した活動中のMCPサプライチェーンキャンペーンであり、各プルリクエストは「productivity-suite」MCPサーバーを提示していました。サーバーは最初の3回のツール呼び出しでは正常に振る舞います。3回目の後、サーバーが保持するクライアントごとの呼び出しカウンターが自身のメタデータを書き換えます。以降のtools/listとprompts/getのレスポンスは、接続中のAIエージェントにSSH鍵、AWS認証情報、シェル履歴、Kubernetes設定を探索させ、その活動をオペレーターから隠すよう指示します。サーバーはtools.listChangedを宣伝しているため、クライアントは再接続せずに汚染された定義をフェッチします。Cloud Security Allianceは、73のGitHubリポジトリに及ぶ以前の「Miasma」キャンペーンとの機械的な近接性を指摘しています。完全なメカニズム分析はDeadbugzの記事にあります。

これは4番目の独立したMCP攻撃クラスです — STDIOコマンドインジェクション、ツールポイズニング、SHAピン留め回避に続くものであり、しかもこのチェックリストのレイヤー3にある承認時点の制御を正確に破るクラスです。Deadbugzのツールは、オペレーターが承認する時点では本当に良性です。悪意あるペイロードはランタイムゲートの後ろで待っています。承認時点で何をスキャンしても見えないのは、承認時点では見るべきものが存在しないからです。検出面はインストールからランタイムへと移動します。

12コントロールのチェックリストにとって、これはレイヤー4の項目を1つ追加します：インストール後のツールメタデータドリフト検出。 サーバーが承認された時点で返すすべてのツール定義 — 名前、説明、入力スキーマ、アノテーション — のハッシュフィンガープリントを記録します。サーバーがtools.listChangedを通知した時（またはスケジュールに従って）、新しい定義をフェッチし、フィンガープリントと比較し、相違を、変更されたツールが重要なアクションに影響を与える前にオペレーターの再承認を要するメタデータドリフトのセキュリティイベントとして扱います。同じフィンガープリント比較は、より早いツールポイズニングクラスも捕捉します。両方の攻撃が、承認後に変化するツール定義という同じメカニズムを共有しているからです。**検証：**承認済みサーバーに接続し、3回以上の通常のツール呼び出しを行い、その後tools/listを再フェッチして承認時点のフィンガープリントと差分を取ります — Deadbugzは、4回目の呼び出しの前に止まるあらゆるレビューに合格するように設計されています。

Update — 2026-10-01: モデルレベルの補完 — Gemini 4 ArgonがGray SwanのIPIベンチマークで首位

上記のモジュールレベルの防御には、名前のあるモデルレベルの対応物が現れました。GoogleによるArgon発表の10月1日のMENAクロスポストは、自動化レッドチーミングと敵対的訓練を通じて、Gemini 4 Argonが「Gray Swanの間接プロンプトインジェクション（IPI）ベンチマークにおけるプロンプトインジェクションの堅牢性で首位である」と述べています。これはベンダーのベンチマーク主張です — 制御としてではなく、あなた自身のワークロードで検証すべき調達の証拠として扱ってください。アーキテクチャの読み解きは変わりません：モデルレベルの堅牢性は、成功するインジェクションのベースレートを下げます；モデルレイヤーでフェイルオープンする防御には、モジュールレイヤーが持ちこたえる必要があるため、レイヤー3のランタイム制御、フィンガープリントドリフトの検出、エグレススコーピングを置き換えません。両方を組み合わせるデプロイは、インジェクション経路全体にわたる多層防御を手に入れます；どちらか一方だけに頼るデプロイは、その単一レイヤーの失敗モードを引き継ぎます。

更新 — 2026-10-02：クレデンシャルの集中点としてのヘルプデスク — DIVD ATA侵害

このチェックリストのレイヤー2（認証）とレイヤー3/4（ランタイム）の統制への攻撃側の対応物が、実戦に登場しました：Sysdigの10月2日の分析は、エージェント型脅威アクターが、2026年9月21日にオランダ脆弱性開示機関（DIVD）を、2つのZammadヘルプデスクのゼロデイ — CVE-2026-102489（RCE、CVSS 8.7）とCVE-2026-102490（LPE、CVSS 8.5）— を連鎖させ、乗っ取られたセッションから数秒でrootへ侵害したことを文書化しています（Sysdig）。12コントロールのチェックリストにとって、これはシステムインベントリに1つの項目を加えます：ヘルプデスクは、セッションCookie、パスワードリセットフロー、統合トークンを集中させます — エージェントがrootへ連鎖するのに必要な資産そのものです。エージェントがアクセスできるシステムのうち、どれがこのようにクレデンシャルを集中させているかをマッピングし、そのセッションハイジャックの姿勢を検証し（Terraform MCP ServerのCVE-2026-16496が晒したのと同じクラスです）、そして「クレデンシャル密度の高いシステムへのトークンを与えられたエージェント」を、インベントリ統制内の独立したリスククラスとして扱ってください — DIVDの事例では、エスカレーション連鎖の全体がその1点から始まったのです。

更新 — 2026-10-04：エージェントごとのデータベース分離をストレージ層の管理として

チェックリストの管理層の棚に、モデルゲートウェイやツールスコープ封じ込めと並ぶ層が加わる：ストレージそのものだ。Supabase がエージェントごとのデータベース供給のために 1.5 億ドルを調達し Turso を買収——AI エージェント起因のデータベース成長 600% ——は、本チェックリストのデータ流出セクションが前提として扱ってきたものをプロダクト化した。エージェント 1 つにデータベース 1 つなら、エージェント間データ面の横移動はネットワーク層ではなく認証情報層で失敗し、監査の問い（「この行を書いたのはどのエージェントか？」）は構成によって解決される。トレードはエージェント横断の一致性：結合と共有参照データはオーケストレーション層へ移る。

更新 — 2026-10-04：MCP Events のサブスクリプションは認証情報——しかも失効は非対称

チェックリストの認証情報管理セクションに、新しい管理対象クラスが加わる：MCP Events のサブスクリプションだ。OpenAI の仕組みは MCP サーバーに署名付き webhook のイベントサブスクリプションを追加する——events/subscribe がサブスクリプションを作り、delivery モード、コールバック URL、HMAC 署名シークレット、cursor を持つ。WorkOS の枠付けがそのまま運用上の枠付けだ：サブスクリプションそれ自体が認証情報であり、他と同様に失効・ローテーション・アクセス制御を必要とする。非対称な部分を明示的にチェックリストへ載せる：ChatGPT は webhook 配信モードを支持するが terminated エンベロープを支持しないため、「失効済み」のサブスクリプションが TTL まで発火し続けうる——失効を即時とみなす前に、エージェントプラットフォームがどの配信モードを履行するか検証する。

更新 — 2026-10-04：CrewAI のサンドボックスバイパス群——Semantic Kernel 以降で初のオープンソースフレームワーク CVE 族

受治モジュールの論点が本輪でオープンソースエージェントフレームワークに及んだ：CrewAI は 5 つの CVE を吸収した——筆頭は CVE-2026-37008（オブジェクトグラフ操作による Python サンドボックス回避 RCE）に、CVE-2026-2275（CodeInterpreter RCE、Docker サンドボックスと SandboxPython フォールバック）、CVE-2026-2285（SSRF）、CVE-2026-2286、CVE-2026-2287（ローカルファイル読み取り）——SEC/CC 勧告 VU#221883 の下で。CrewAI の remediation が物語る：CodeInterpreterTool は完全に削除され、allow_code_execution は非推奨化された。SandboxPython のフォールバックチェーン——Docker に手を伸ばし、失敗すれば insecure なローカル実行に落ちる——は LiteLLM のデフォルト管理キー発見と同じ「危険なデフォルト」パターンであり、今回はフレームワーク層にある：チェックリストのサンドボックス項目は、フォールバックが降格ではなく拒否で終わることを検証しなければならない。

エージェント SDK 認証スコープ（CVE-2026-104873 の前例）。 フレームワーク SDK の認証面は反復する脆弱性クラスになりつつある——CrewAI のサンドボックス族と、同週の LangGraph の langgraph-sdk CVE-2026-104873（0.4.4 で修正）。この欠陥は actions スコープの認証ハンドラを全面的に適用させ、サインイン済みユーザーが他のユーザーのスレッドに触れられた。チェックリスト項目：フレームワークの認証ハンドラのデフォルトとは独立に、スレッド/セッション層でユーザーごとの分離を検証し、修正を含む SDK バージョンを固定する。

更新 — 2026-10-06: 新しい MCP CVE クラス3件がチェックリストに — Confluence ファイル読み取り、ArcadeDB トークン露出、Facebook Ads SSRF

本チェックリストが追跡する MCP CVE の棚卸しに、ツールレベルの攻撃面が三つ增えました(bonfy.ai「MCP Security Statistics 2026」):CVE-2026-73498(Atlassian Confluence MCP) — confluence_upload_attachment がクライアント提供のファイルパスを検証なしでファイルオープン呼び出しに直接渡し、ツールのパス引数を通じた任意ファイル読み取りを可能に。CVE-2026-67357(ArcadeDB MCP) — 設定ツールが HA クラスタトークンを平文で露出し、特定のリクエストヘッダーで root をimpersonate可能に — 新しいサブクラス:ツール応答経由の機密漏洩。CVE-2026-19956(Facebook Ads MCP サーバー) — ページネーション関数の SSRF、認証済みリモート呼び出し元がサーバーのネットワーク位置からリクエストを駆動。チェックリストへの翻訳:ファイルを扱う全ツールにパス検証を追加(検証するのはサーバーで、クライアントでは決してない)、ツール応答の機密漏洩を監査 — 注入のための呼び出し監査だけでなく — そしてモジュールのエグレスを絞り、コネクタ内の SSRF が内部メタデータエンドポイントへ pivot できないようにする。いずれも既存の統制ファミリー(入力検証、応答監査、ネットワーク分離)に対応します — これこそチェックリスト自身の論点です。クラスは毎週変わるが、統制ファミリーは変わらない。

更新 — 2026-08-08：Skill/Plugin Security Scanning — ベンダー側サプライチェーン緩和

Anthropicは2026年8月6日にSkill/Plugin Security Scanningをリリースした — サードパーティツールサーバーに対するモデルベンダー側初のサプライチェーン緩和策。このスキャンは、サードパーティのClaude Codeアップロード（スキルとプラグイン）がマーケットプレースに到達する前に悪意のあるコンテンツを検査する。これは、オペレーターが自身のツール定義に対して行うスキャンのベンダー側補完である：Control 10（ツールポイズニング防御）はあなたが行うスキャンを管理し、Skill/Plugin Scanningはモデルベンダーがそのマーケットプレースで行うチェックを管理する。

digitalapplied.comのフレームワーク（2026年8月6日）は、生産ギャップを定量化する：AIエージェントプロジェクトの88%が本番に到達しない、平均失敗プロジェクトコストは$340,000。7つの障害パターンが停滞の94%を占める — スコープクリープ（34%）、データ品質（27%）、セキュリティブロッカー（14%）、統合複雑性（9%）、コスト超過（7%）、ガバナンスギャップ（5%）、組織抵抗（4%）。本番に到達する12%は4つの特徴を共有する：より狭いスコープ、データ準備投資、並行セキュリティアーキテクチャ、デプロイ前ガバナンス。構造化された障害モード評価を適用する組織は、失敗率を15%未満に低下させる — 4倍の改善。

更新 — 2026-10-11: AgentCorruption — IMDS 認証情報の攻撃面がマネージドエージェントプラットフォームに到達

Zenity Labs の AgentCorruption 開示(2026 年 10 月 8 日、SecTor トロント)は、このチェックリストのランタイム管理が存在する理由である認証情報暴露のクラスを、マネージドエージェントプラットフォーム上で記録したものです。一般公開された Amazon Bedrock AgentCore エージェントへのたった一つのプロンプトが HTTP 対応ツールを 169.254.169.254 に向けさせ、インスタンスメタデータサービスがそのエージェントのデフォルト実行ロールの一時認証情報を返しました — そのロールの適用範囲はこのエージェントではなく、同じ AWS アカウントとリージョン内のすべての AgentCore エージェントでした。続くチェーンは純粋な IAM です:DescribeLogGroups が全エージェント ID を列挙し、InvokeAgentRuntime が権限のない内部エージェントに到達し、ListEvents がすべての非公開会話を読み、GetSecretValue が API キーと OAuth トークンを抽出し、エージェント横断のメモリ書き込み権限がセッションを超えて存続する持続的な行動変化を植え付けました。これは LiteLLM KEV の記事がゲートウェイ層で記録したのと同じ認証情報クラス — 弱い境界一つをクラウドアカウント全体の侵害に変えるパススルールーティング — がプラットフォーム層に到達したもので、そこではプラットフォーム自身のデフォルトが過剰な権限を持つ認証情報を供給しました。ランタイム管理ファミリーへのチェックリスト訳:リンクローカルのメタデータエンドポイント(169.254.169.254)をすべてのモジュールのアウトバウンド経路からブロックし、本番投入前に実行ロールポリシーを権限ごとに読み、そのロールがアカウント内の他のエージェントのリソースを列挙・呼び出し・読み取り・書き込みできないことを検証する。AWS がデフォルトロールを強化したのは 2026 年 9 月 29 日 — 最初の開示から 278 日後 — であり、これが第二の教訓です:報告済みから修正済みまでの窓は、どのマネージドプラットフォームでも顧客の負担です。インシデントの全文解析は AgentCorruption の記事にあります。

代表的なビルド：NetSuiteカタログを読み、見積もりを生成し、在庫可用性を保持し、受け入れられた注文をERPに書き戻すMCPモジュールをデプロイする中堅ディストリビューター。コントロール1–4（SSE移行、ネットワーク分離、OAuth、エージェントアイデンティティ）がアーキテクチャです。コントロール5–8（ツールポイズニングスキャン、署名付きプロビナンス、STDIO強化、レート制限）がサプライチェーンとランタイムレイヤーです。コントロール9–12（コンテキスト境界、kill switch、監査ログ、シャドウ検出）がモジュールが1週間実行されるか1年実行されるかを決定する運用レイヤーです。1週間のDiscoveryフェーズは、モジュールが本番トラフィックに触れる前に各コントロールを検証可能にするシステムインベントリとワークフローマップを生成します。

1週間のDiscovery。システムインベントリ、ワークフローマップ、固定スコープを得ます——私たちと構築するかどうかにかかわらず。

更新 — 2026-10-20：Splunk CVE-2026-76286 — ツールに設定された URL 自体が信頼境界

Splunk は 2026 年 10 月 7 日、自社の MCP Server に CVE-2026-76286 を開示しました（CWE-918、CVSS 5.3、1.2.1 で修正）— 実行中ユーザーのプラットフォームトークンを、カスタム API ツールに設定された URL へ送り出す SSRF です（アドバイザリー）。この事例は、このチェックリストが追跡する台帳（CVE-2026-16496 の CVSS 10.0 セッションクラス、Spring AI の SSRF CVE-2026-45609、KEV 二件）に加わるとともに、独自の制御教訓を一つ足します。ツールに設定された URL 自体が信頼境界です。ツール設定の URL を固定・検証し、ユーザー提供の素の URL をツール設定に入れさせず、ツールが行うすべてのアウトバウンド取得をサーバー自身の資格情報の搬送として扱ってください。

あなたのシステムのためにこれを構築したいですか？

ここの各ドキュメントは実際の本番作業から来ています。ターゲットシステムとワークフローがあれば、1週間でスコープを定義できます。

スコープ付き構築を依頼

1週間のディスカバリ。システムインベントリ、ワークフローマップ、固定スコープを提供します — 私たちと構築するかどうかにかかわらず。