MCPサーバー保護が製品カテゴリーに：12コントロールのbuy-vs-buildテスト

2026年10月14日、Radware（NASDAQ:RDWR）は Model Context Protocol (MCP) Server Protection を発表しました — 上場ネットワークセキュリティベンダーによる、初の専用設計MCP防御製品です。発表は Stacklok の State of Model Context Protocol in Software 2026 を市場の枠組みとして引用しています：調査対象のソフトウェア企業の半数近くが本番でMCPサーバーを運用し、19%が広範な本番稼働です。上場企業が、空のセキュリティサーフェスを製品化することはありません。同時に、攻撃の台帳は増え続けています。Splunk 自身のMCP Serverは10月に CVE-2026-76286 を開示しました — カスタムツールの設定が指す任意のURLにユーザーのSplunk認証トークンを渡してしまうSSRFです。したがってエンジニアリングリーダーへの問いはもう「MCPサーバーを強化すべきか」ではありません — 12コントロールのチェックリストがそれはすでに決着しています。今の問いは：MCP 保護を買うと実際に何が閉じ、何が開いたままか、です。

本稿は、Radware が発表した5つの能力グループを12コントロールのベースラインにマッピングします。数の結果：3コントロールはネットワークエッジで閉じ、5コントロールは部分的なカバーを受け、4コントロール — 侵害が騒がしいか静かかを決めるアプリケーション層のコントロール — は、製品の有無にかかわらず、すべてのデプロイで構築がオペレーターのまま残ります。下の意思決定マトリクスが成果物です。

マトリクスの前に2つの正直な印をつけます。どちらも読み方に影響します。第一に、製品の能力はプレスリリースにおける設計意図の主張です — 各項目は「設計済み」という表現で述べられ、検証の場は12月3日のRadwareウェビナーであり、発表そのものではありません。第二に、下のマッピングは発表済み能力リストに対するものです。それはネットワーク層製品が何を見えるかにかかる検証可能な仮説で、出荷済み動作のレビューではありません。誰かの製品を発注書に入れる前に、自分のトラフィックを自分の強化エビデンスに対して走らせてください。

主要なポイント

• Radware（NASDAQ:RDWR）は2026年10月14日、専用設計のMCP Server Protectionを発表 — 上場ネットワークセキュリティベンダーによる初のMCP防御製品であり、Stacklok の State of MCP 2026 調査を引用します：ソフトウェア企業の半数近くが本番でMCPサーバーを運用、19%が広範な本番稼働。
• Splunk は2026年10月7日、自社のMCP Serverで CVE-2026-76286 を開示（CWE-918、CVSS 5.3、1.2.1で修正） — 実行中ユーザーのプラットフォームトークンをカスタムAPIツールの設定URLへ送ってしまうSSRF。エコシステム初の CVSS 10.0（CVE-2026-16496）と2件の CISA KEV 掲載をすでに抱える台帳に加わります。
• 12コントロールの強化ベースラインに対して、ネットワーク層MCP製品が閉じるのは3コントロール — ネットワーク分離、フラッディングとDoS、シャドウサーバー検出 — で、4コントロール（来歴、STDIO強化、コンテキスト境界、キルスイッチ）は、すべてのデプロイでオペレーターに残ります。
• 5つの部分的行は検出であって、強制ではありません — 認証攻撃の検出、エージェントアイデンティティ監視、ネットワークポイントの監査テレメトリは、OAuthロールアウト、アイデンティティライフサイクル、改変不能なコール単位の監査記録を置き換えません。
• 12コントロールはRFPの二役を果たします — Radware の発表リストは、露出したツールとリソースの可視性を主張するものの tools/list のドリフト検出は主張しないため、Deadbugz型メタデータ汚染を捉える fingerprint-and-diff コントロールはオペレーターのビルドリストに残ります。

上場ベンダーは需要が測定された場所に作る

セキュリティ製品カテゴリーは、4つの前提条件が同時に揃ったときに形になります。リスクが列挙され、攻撃が具体的で、インシデントに名前がつき、需要が測定可能であること。MCPは今月、この4本の線を同時に越えました：

• リスクが列挙されている。 OWASP MCP Top 10 は Beta v0.1 で、Token Mismanagement から Context Injection、Over-Sharing まで10の名前つきカテゴリーを一覧化しています。
• 攻撃が具体的である。 4つのコミュニティ攻撃クラスが本番レベルの詳細で文書化されています：STDIO コマンドインジェクション（OX Security、ダウンロード1.5億回超が影響）、Postmark MCP バックドア（正当に見える npm パッケージ内の tool poisoning）、SHAピニング回避、そして Deadbugz のランタイムゲート式メタデータ汚染（74分で23プルリクエスト、信頼された3回の呼び出しの後にのみ現れる悪意あるツール定義）。
• インシデントに名前と番号がある。 CVE-2026-16496 がエコシステム初の CVSS 10.0 をもたらしました — Terraform MCP Server のステートフル通信モードにおけるセッションハイジャックのバイパスです。MCP関連の2件のCVEが CISA の既知悪用脆弱性カタログに到達し、2件目（CVE-2026-59822、CVSS 8.8）は9月16日の連邦修正期限を抱えています。Splunk は10月7日、自社のMCP Serverで CVE-2026-76286 を開示し、1.2.1で修正しました。Zenity の AgentCorruption はマネージドプラットフォームの被害範囲を示しました：公開エージェントへの1つのプロンプトが、AWS アカウント内のすべてのエージェントへ届く認証情報を晒したのです。
• 需要が測定されている。 Stacklok の調査は、ベンダーが市場をサイズできる場所に採用率を置いています。調査対象ソフトウェア企業の半数近くが本番稼働、19%が広範な本番稼働 — 同一手法で調査された金融サービスおよび小売のコホートを上回ります。

スキャンに基づく数値が緊急性の輪を閉じます：認証ゼロで公開アクセス可能な1,467台のMCPサーバー（Trend Micro の修正カウント、うち1,227台は廃止されたSSE通信上）と、調査対象2,614台中82%のパストラバーサル露出と8.5%のOAuth採用（Practical DevSecOps）。Radware CTO の David Aviv は製品テーゼを一文で述べています：「組織は、どのMCPサーバーを持っているか、そのサーバーが何を露出しているか、どのエージェントがアクセスしているか、そしてそのインタラクションが安全かを知る必要がある」。その一文は、ほぼ一言一句、チェックリストのインベントリとドリフト監視のコントロールです — 今や製品のピッチになっています。

製品が主張する内容 — 5つの能力グループ

発表は、Radware MCP Server Protection を既存の Agentic AI Protection と LLM Firewall の各ラインに並べて置き、クラウドサービス（Cloud Application Protection Service）として、あるいは Alteon と DefensePro 上のクラウド補強型オンプレミスで、パブリッククラウド、プライベートクラウド、Kubernetes、ハードウェアデータセンター全体に展開できるとしています。5つの能力グループが主張されています：

1. MCP攻撃サーフェス可視性 — 展開済みサーバー、露出したツールとリソース、エージェントの活動、使用パターン、通信フロー。
2. MCP対応攻撃保護 — プロトコル悪用、認証攻撃、ツールとリソースの列挙、未認可のMCPインタラクション、AI駆動のツールフラッディング、サービス拒否。
3. ガバナンス — 露出評価、弱点特定、規模をかけたポリシー強制。
4. エージェント活動監視 — エージェントのアイデンティティ、ツール呼び出しパターン、振る舞いの異常、リソース消費の傾向。
5. デプロイの柔軟性 — クラウドサービス、またはクラウド補強型の Alteon と DefensePro オンプレミス。

このリストを攻撃台帳と並べて読むと、一致は本物だが部分的です。保護グループ（2）が挙げるのは、まさにワイヤ上に見える攻撃サーフェスです：プロトコル悪用、列挙、フラッディング、サービス拒否 — MCP Paradox の記事がプロトコルのフリクションレス設計に遡るのと同じクラスです。リストに欠けているものは等しく情報的です：ツール定義ドリフト検出（Deadbugz型）を主張する項目はなく、パッケージ来歴を主張する項目はなく、コンテキストウィンドウの強制を主張する項目はなく、キルスイッチを主張する項目はありません。それらはモジュールの前と内側に生きるコントロールで、本稿のマトリクスがオペレーターの仕事として採点するものです。

Splunk のCVEは、この区別が実務でなぜ重要かを示します。CVE-2026-76286 はツール設定の欠陥です：MCP Server は実行中ユーザーのプラットフォーム認証トークンを、そのツールに設定されたURLへ送りました — そして別のユーザーがそのURLを制御していれば、トークンを取得してユーザーとして振る舞えます。ネットワーク制御は事後の送出試行を発見できますが、修正はすでに12コントロールのベースラインにあった設定ルールです — サーバーがツールごとに設定されたすべてのURLを検証して所有し、モジュールのエグレスはトークンが動く前に絞り込まれる（CWE-918、CVSS 5.3、1.2.1で修正済み）。エッジでの検出と設定での強制は別のコントロールであり、トークンが外に出るのを防ぐのはどちらか一方だけです。

12コントロールのbuy-vs-buildテスト

下のマトリクスは本稿の作業成果物です。ステータスは5つの発表済み能力グループに対して採点されます：閉じるは、発表済み能力がコントロールの攻撃クラスをネットワークエッジでカバーすること、部分的は、製品がサーフェスを見えるか検出する一方で、強制・ライフサイクル・権威ある記録がオペレーターに残ること、未カバーは、コントロールのサーフェスが構造上ネットワーク層ツールには見えないことを意味します — 特定の製品の責任とは限りません。

#	コントロール	製品が主張してカバーできるもの	ステータス	あなたに残るもの
1	SSE → Streamable HTTP マイグレーション	インベントリが廃止SSEサーバーを標記	部分的	マイグレーションそのもの — フィルタールールではなくアーキテクチャ変更
2	ネットワーク分離とオリジン検証	L3–L7境界での強制（ベンダーの本拠地）	閉じる	SDK内部の Host/Origin 検証はアプリ層のまま
3	OAuth 2.1 + OIDC 強制	認証攻撃の検出、未認可インタラクションの検出	部分的	トークン発行、スコープ、RFC 8707 オーディエンスバインディング — ロールアウトはあなたのもの
4	エージェントアイデンティティ分離	エージェントアイデンティティ監視、振る舞いの異常	部分的	プロビジョニング、アテステーション、失効ライフサイクル（SCIM/SPIFFE）はあなたのもの
5	ツールポイズニングスキャン / ドリフト検出	ワイヤ上のプロトコル悪用と列挙	部分的	承認時のスキャンとインストール後の tools/list フィンガープリンティング（Deadbugz型）はあなたのもの
6	署名付き来歴と AIBOM	—	未カバー	レジストリと npm サプライチェーン：サーバーが語り始める前に着地する攻撃
7	STDIO強化	—	未カバー	クライアントとサブプロセス間の localhost 通信；検査対象のワイヤトラフィックなし
8	レート制限（フラッディング / DoS）	AI駆動のツールフラッディング、サービス拒否	閉じる	境界を超えたツール単位・エージェント単位のモジュールレベル制限
9	コンテキスト境界（OWASP MCP10）	—	未カバー	モデルがセッション内で読むものはネットワークデータではない
10	モジュール単位のキルスイッチ	—	未カバー	あなたのフィーチャーフラグ；ネットワーク遮断は最後の手段
11	コール単位の監査ログ	ネットワークポイントでのフロー・異常テレメトリ	部分的	入力ハッシュ付きの権威ある改変不能なコール単位JSONはあなたのもの
12	シャドウサーバー検出	展開済みサーバーの攻撃サーフェス発見	閉じる	「既知の正常」を定義するレジストリ審査とドリフトポリシー

**集計：3閉じる、5部分的、4未カバー。**この新興カテゴリーのすべてのベンダーで同じ構造が成り立ちます。この分断は製品の限界ではなく、アーキテクチャ上の境界だからです。UpGuard が見出した「15台に1台がなりすましサーバー」という事実は、なりすましがnpm側にあればネットワーク境界には見えません。Deadbugz のペイロードは正規のMCP応答の中に届き、モニターには見えても意味論的に裁くことができません。そしてモデルのコンテキストウィンドウは、ネットワーク製品が強制できるあらゆる境界の内側にあります。

マトリクスを一つのビューで：3つのカバレッジ帯、その背後の市場数値、そして図が運ぶRFPのルール：

部分カバーを買うことはなおも合理的 — 正直に採点すれば

5つの部分的な行は、購買の会話が流れやすい場所です。「認証攻撃の検出」はOAuth 2.1が展開されていることを意味せず、エージェントアイデンティティ監視はエージェントのアイデンティティが失効可能であることを意味しません。部分的な行には本物の価値があります — 強制なき検出はトリップワイヤであり、登録していないサーバーを掘り出すネットワークインベントリは、買える最速のシャドウMCP国勢調査です。それらをコントロールの閉鎖ではなく、検出カバーとして採点してください：

• C1/C3/C4 の部分が完全なコントロールに変わるのは、オペレーター自身の仕事が起こったときだけです — 通信のマイグレーション、OAuthロールアウト、アイデンティティライフサイクル。モニタリングは修正キューを駆動できますが、修正そのものにはなれません。
• C5 の部分には具体的なRFP質問がふさわしい。最も重大なギャップだからです：製品は、あるサーバーの tools/list 応答を時系列でdiffし、意味論的ドリフトにアラートを出せるか？発表は露出したツールとリソースの可視性を名指ししますが、ドリフト検出は主張せず、Deadbugz はdiffされていない4回目の呼び出しの手前で止まるすべてのレビューを破るよう設計されています。
• C11 の部分は両方に刃があります：ネットワークポイントのテレメトリは、モジュールには見えるはずのない異常検出に食料を与えます。しかし権威ある監査記録 — タイムスタンプ、エージェントID、ツール、入力ハッシュ、出力ステータス — は、構造化・改変不能・あなたの管理下でなければなりません。AgentCorruption はその理由を決着させる反例です。プラットフォームのデフォルトロールがアカウント内の全エージェントを晒した後、「どのエージェントが、どのツールで、誰の入力で」を答えられたのは、オペレーターが所有していたログからでした。

buy-vs-buildの境界

マトリクスから4つのルールが落ちてきます：

1. **露出がネットワーク型なら、ネットワーク層を買う。**フラッディング、列挙、プロトコル悪用、未知のサーバー母集団はワイヤ可視の問題であり、DDoS/WAFの血統を持つベンダーはそれらをサービスとして価格づけ・運用します。共有インフラ上でマルチテナント・マルチチームのエージェント群を走らせるなら、その層はおそらく他人の生業です。
2. **購入の有無にかかわらず、4つのアプリ層コントロールを所有する。**来歴（C6）、STDIO強化（C7）、コンテキストスコーピング（C9）、キルスイッチ（C10）は、今週どのネットワークベンダーの主張リストにも載っておらず、製品ラインとして買うこと自体ができません — モジュールがどう作られ運用されるかの属性だからです。MCP Module Code Standard は、それらをモジュール内で強制可能にするためのビルド側リファレンスです。
3. **12コントロールをRFPに変える。**候補のMCPセキュリティベンダーには、主張ではなくマトリクスに対するエビデンスを求めてください：Deadbugzパターンに対するドリフト検出のデモ、あなたのスキーマに合うサンプル監査レコード、そして「ガバナンス」の正確な範囲 — 何を、どこで強制するのか。ベンダーが証明できるものが閉じ、証明できないものがビルドリストに残ります。
4. ビルド側の半分には無料のリファレンスがある。Microsoft Agent Governance Toolkit は、OWASP MCP Top 10 の10/10カバー（7完全、3がロードマップ付き部分）をオープンソースランタイムとして出荷しています — 商業ペリメーターに対する非営利的な補完物です。チェックリストの採点モデル（12/12が本番準備完了；8未満は本番公開禁止）が両半分の受け入れゲートです。

このパターンはRadwareの先へ広がります：Black Hat 2026 の波はすでにシャドウサーバー発見（Cyera Agent Guardian）、アイデンティティガバナンス（SailPoint）、ネットワーク層監視（Check Point AI Network Firewall）をもたらし、親チェックリストの更新ログがカバーしています — そして TrueFoundry のようなゲートウェイベンダーがガバナンス側の半分を担います。Radware の参入が、専用製品の背後に上場ベンダーを置きました。カテゴリーの今後の収斂は市場の仕事です。ネットワーク製品が見えない4つのコントロールは、オペレーターのもののままです。

関連記事

• MCPセキュリティ強化チェックリスト：1,467台の露出サーバーとそれらを閉じるコントロール — 親記事：本稿のマトリクスが対照する5層・12コントロール、およびCVE、KEV掲載、攻撃クラスの更新ログ。
• モデルではなくデフォルトロール:一つのプロンプトが AWS アカウント内の全エージェントを乗っ取る — オペレーター側の監査要件を定義するマネージドプラットフォームのインシデント：アカウント全体に適用範囲を持つプラットフォームのデフォルト実行ロールが被害範囲を決めました。
• Deadbugz：4つ目のMCP攻撃クラスは、あなたが信頼するまで隠れている — 本稿のC5 RFP質問の背景にあるランタイムゲート式メタデータ汚染クラス：承認時スキャンには見えず、フィンガープリントとdiffに見えます。

---

代表的なビルド：中堅のディストリビューターが1つのMCPモジュールを本番に露出させます — NetSuite カタログリーダーと見積もりジェネレーター、ERPへの書き戻し付き。ネットワーク層（エステートがすでに信頼するどんな製品形態であれ）はモジュールを発見し、エージェントのトラフィックを監視し、境界でのフラッディングを防ぎます。4つのアプリ層コントロールは、最初のツール呼び出しの前にモジュールの内側に組み込みます。成果物への署名付き来歴、STDIO にユーザー制御のパスなし、コンテキストはツール単位でスコープ、キルスイッチはステージングで一度発火を確認。1週間の Discovery フェーズはサーバーインベントリと12コントロールのスコアカードを生み出し、どんなベンダーの能力リスト — これであれ次であれ — を、スライドではなく検証可能なRFP回答に変えます。

1週間のディスカバリー。システム・インベントリ、ワークフローマップ、固定スコープを取得 — 私たちと一緒に作るかどうかは別です。