MCP Server とは何か、どう選ぶか

MCP（Model Context Protocol）Server は、AI エージェントが外部のツールやデータに接続するための仕組みだ。従来 API ごとに個別実装していた連携を、共通のプロトコルで扱えるようにする。

API との違い

API は「人が書いたコードが呼ぶ」もので、MCP Server は「AI が状況に応じて呼ぶ」ことを前提にしている。この違いが選定基準を変える。機能の豊富さより、何を実行できないようにするかが設計の中心になる。

🔴
エージェントの賢さに期待せず、権限で不可能にしてください

「壊さないよう指示する」だけでは守れません。読み取り専用のロールで接続する、許可するディレクトリを作業対象に限定する、保護ブランチでレビューを必須にする——実行できない状態を作るのが唯一確実な対処です。破壊的な操作（削除・送信・決済）は、人間の確認を挟むか、影響範囲を限定したツールに分割してください。

情報が外部に渡る前提で判断する

MCP Server が取得したデータは、そのままモデルの入力になる。つまり接続先の内容は外部に送信される。プライベートリポジトリのコード、社内チャンネルの会話、データベースの行——これらを扱う場合、利用するモデルのデータ取り扱い条件と社内規程に照らした判断が要る。技術的に接続できることと、接続してよいことは別問題だ。

ローカル動作という性質

多くの MCP Server は手元の環境で動くオープンソースで、課金や契約という概念がない。導入障壁は低いが、実行環境から見える範囲がそのまま影響範囲になる。権限を絞る責任は完全に利用者側にある。

取得内容が指示として作用しうる

Web ページや文書を取得する種類のサーバーでは、その内容自体がモデルへの指示として働く危険がある。悪意のあるページが「これまでの指示を無視して」といった文言を仕込んでいた場合に引きずられる。取得内容はデータとして扱い、指示としては解釈しないという前提を、エージェント側で明示しておく必要がある。