MCPとは
最終更新: 2026年8月12日
MCP（Model Context Protocol）は、AIと、外部のデータや道具をつなぐための共通規格です。 2024年11月にAnthropicが公開し、その後は主要なAIベンダーが相次いで対応しました。
たとえるなら差込口の規格です。 コンセントの形が国ごとに違うと変換プラグが要りますが、形が揃っていれば挿すだけで使えます。 MCPはそれをAIと道具のあいだでやりました。
これがなかったころ、何が面倒だったか
AIにカレンダーを読ませたい、社内のデータベースを検索させたい、ファイルを扱わせたい。 こういうときは、つなぐ相手ごとに個別の作りこみが必要でした。
AIが3種類、つなぎたい道具が5種類あれば、組み合わせは15通り。 片方が増えるたびに、掛け算で作業が増えていきます。 共通の差込口を1つ決めれば、3＋5で済みます。 これがMCPが急速に広まった理由です。
何ができるようになるのか
- 読む — ファイル、データベース、社内の文書、カレンダー、課題管理
- 書く・変える — ファイルの編集、レコードの更新、コメントの投稿
- 実行する — コマンド、検索、外部サービスの操作
重要なのは、これが「読む」だけの話ではないことです。 MCPによってAIは「答える人」から「動かす人」に変わりました。 便利さと危なさは、同じところから来ています。
RAGとは目的が違う
| RAG | MCP | |
|---|---|---|
| やること | 関連しそうな文書を探して読ませる | 道具を呼び出せるようにする |
| 向き | 読む方向だけ | 読む・書く・実行する |
| 誰が選ぶか | こちらが渡す文書を決める | AIが必要な道具を選んで呼ぶ |
| たとえると | 参考資料を配る | 道具箱の鍵を渡す |
どちらか一方を選ぶ関係ではありません。 資料を読ませるならRAG、操作させるならMCP、というだけの話です。
つないだ瞬間に増えるもの
ここからが、あまり書かれていない部分です。 MCPを入れるとできることが増えますが、同時に3つのものが増えます。
1. 渡す情報の量
道具を使えるようにするには、その道具の説明をAIに渡す必要があります。 「この道具は何ができて、どう呼ぶのか」を全部の道具ぶん、毎回送ります。 さらに道具を実行した結果も、次のやりとりに乗ります。
つまりMCPを増やすほど、毎回の送信量が増えます。 入れっぱなしにしている道具が20個あれば、使っていない19個ぶんの説明も毎回送られています。 仕組みと費用への影響は コンテキストエンジニアリングで計算しています。
2. 選び間違いの余地
道具が2つなら間違えようがありませんが、20個あると 似た道具のどれを使うべきか迷います。 説明が曖昧だと、毎回違う道具を選ぶようになります。
「たくさん入れれば賢くなる」は成り立ちません。 使う道具を絞り、説明を具体的にするほうが結果は安定します。 入れっぱなしのMCPは、費用と誤選択の両方を増やしています。
3. 攻撃される面
これがいちばん重要です。MCPは外部から情報が入ってくる入口でもあります。
たとえばAIに課題管理システムを読ませているとき、 誰かが課題のコメントにAI向けの指示文を書き込んでおくことができます。 AIはそれを「読んだ情報」として受け取り、書かれた指示に従ってしまうことがあります。 これがプロンプトインジェクションと呼ばれるもので、 OWASPのLLM向けの脅威一覧では第1位に置かれています。
そして、完全に防ぐ方法は現時点でありません。 だから「防ぐ」ではなく「被害を限定する」という考え方になります。 具体的な線引きは AIエージェントに任せて事故らないための線引きにまとめました。
入れる前に確認すること
MCPサーバーの数は、公開当初の約100個から2026年には1万を大きく超える規模まで増えました。 選ぶ側の問題になっている、ということです。
| 確認すること | なぜ |
|---|---|
| 誰が作ったものか | 公式か、有志か。名前が似ているだけの別物が紛れ込むことがあります。配布元を辿れないものは入れないのが安全です。 |
| 何ができる道具が含まれるか | 1つのMCPサーバーが複数の道具を持ちます。読むだけのつもりが、書く・消す・送るができる道具も一緒に入ることがあります。 |
| どの範囲にアクセスするか | ファイル全体か、指定したフォルダだけか。アカウント全体か、1つのプロジェクトだけか。狭いほうを選びます。 |
| 認証情報をどこに置くか | APIキーやトークンをどこに保存し、誰が読めるのか。使い捨ての権限で発行できるなら、そうします。 |
| 取り返しがつくか | 消す・送る・公開する・支払う。この4つを含む道具は、人の承認を挟む前提で使います。 |
とくに読むだけの用途なら、読むだけの権限で使うこと。 多くのサービスは読み取り専用のトークンを発行できます。 「とりあえず全権限」で始めると、あとから絞るのは忘れます。
実務での落としどころ
- いま使っているMCPを数える。 入れたまま忘れているものがあるはずです。使っていないものは外します。
- 読む用途と、変える用途を分ける。 調べものをするときは読むだけの構成、作業をさせるときだけ書ける構成にします。
- 取り返しのつかない操作の前に、人が入る場所を作る。 送信・支払い・削除・公開。ここだけは自動で通さない設計にします。
- 何が起きたか追える記録を残す。 どの道具をどう呼んだかが見えないと、問題が起きたときに原因を推測するしかなくなります。
層のなかでの位置づけ
MCPは規格であって、設計の層ではありません。ただし いちばん外側（ハーネス）の話にあたります。 道具・権限・実行環境を決める部分だからです。
- AIエージェント設計の5階層マップ — 用語の位置づけを1枚で
- ハーネスエンジニアリング — 道具と権限をどう設計するか
- A2Aとは — AI同士をつなぐ規格。MCPとの違い
- 事故らないための線引き — 個人が使うときの現実的な守り方
本記事は2026年8月時点で公開されている情報にもとづく概要です。仕様や対応状況は更新が速く、記載時点から変わっている可能性があります。導入にあたっては各サービスの公式ドキュメントをご確認ください。特定のMCPサーバーやサービスを推奨するものではありません。