20,629件の検査済みMCPサマリー: 導入前に見るべき5つの論点
Public Registry 20,629件のうちPASSは419件に留まり、20,210件はWARN、NEED_REVIEW、RESTRICT、BLOCKのいずれかだった。MCP導入では、許可/拒否の二択ではなく、実行境界、source、auth、変更権限、運用上の未確認事項を分けて見る必要がある。
用語
| 用語 | 意味 |
|---|---|
| Public Registry | 公開Registryで検索可能な検査済みMCP候補 |
| 確認対象 | WARN、NEED_REVIEW、RESTRICT、BLOCKのいずれかで、導入前に理由を読むべき候補 |
| 詳細プロファイル根拠 | 公開候補の実行形態、source、auth、能力を集計で読むための補助データ |
| PASS | 公開スナップショット上、追加の注意・制限・未確認理由が目立たない候補 |
リード
MCP GuardのPublic Registryでは、20,629件の検査済みMCP候補のうち、PASSは419件だけだった。これは「ほとんどが危険」と読むより、MCP導入判断の大半は、許可/拒否の二択ではなく、理由を読んで範囲を決めるレビュー問題だと読むべきである。
Key Findings
- 20,629件のPublic Registryのうち、20,210件、つまり98%が確認対象だった。
- PASSは419件に留まり、WARN 9,925件、NEED_REVIEW 5,394件、RESTRICT 4,881件、BLOCK 10件だった。
- 詳細プロファイル根拠では、ローカルプロセス型、コマンド/コード実行、外部変更、ファイル操作、認証情報アクセスなど、導入前に見るべき論点が分かれた。
- 導入判断で重要なのは、どのMCPを怖がるかではなく、どの権限・境界・未確認事項を導入前チェックに入れるかである。
データセット
| 項目 | 値 |
|---|---|
| 記事日付 | 2026-06-21 |
| Public Registry snapshot | 20,629件、2026-06-06T01:17:38.963Z時点 |
| 詳細プロファイル根拠 | 11,627行、2026-05-20/21生成 |
| 公開できる粒度 | 集計値、分布、匿名化した観測、実務上の読み方 |
状態分布
| 状態 | 件数 | 導入前の読み方 |
|---|---|---|
| PASS | 419 | 目立つ注意・制限・未確認理由が少ない候補。ただし環境別レビューは残る。 |
| WARN | 9,925 | すぐ拒否ではないが、理由と権限範囲を読むべき候補。 |
| NEED_REVIEW | 5,394 | source、auth、実行、依存関係などに未確認事項が残る候補。 |
| RESTRICT | 4,881 | 使うなら権限・ネットワーク・データ範囲を制限すべき候補。 |
| BLOCK | 10 | 公開スナップショット上、原則導入を止めるべき強い理由がある候補。 |
導入前に見るべき5つの論点
1. 実行境界
詳細プロファイル根拠では、ローカルプロセス型が10,335件、stdio型が10,070件だった。MCPを「外部API連携」とだけ見ると、この論点を落とす。ローカルで動くMCPでは、作業ディレクトリ、環境変数、OS権限、依存関係、ネットワーク到達先がレビュー対象になる。
2. コマンド/コード実行
コマンド/コード実行系の能力は2,858件で観測された。これは開発支援MCPでは自然な機能だが、AIエージェントに実行権限を渡す以上、どの入力から何が実行されるか、出力がどこへ送られるか、失敗時に何が残るかを確認する必要がある。
3. 外部変更とファイル操作
外部サービスやリモート状態を変更しうる候補は2,555件、ファイル変更系は1,425件だった。読み取り系MCPと変更系MCPは同じ扱いにできない。変更系では、監査ログ、対象範囲、取り消し手順、最小権限を事前に決めるべきである。
4. Source / provenance gap
出どころ未解決に分類されたプロファイルは2,005件だった。MCP導入では、名前、README、packageだけで判断せず、repository、配布元、更新頻度、所有者、依存関係を確認する必要がある。出どころが閉じない候補は、機能が魅力的でも運用上のリスクが残る。
5. Auth / credential boundary
認証情報アクセスに近いシグナルは487件だった。件数としては全体の一部だが、API key、OAuth、session、ローカル環境変数の秘密情報を扱うMCPでは、secretの所有者、scope、rotation、監査ログ、AIエージェントから見える範囲を曖昧にできない。
実務上の読み方
20,629件のサマリーから言えるのは、MCPセキュリティは「危険なMCPを探す」だけでは足りないということだ。導入前レビューでは、少なくとも次を分けて記録する。
- 実行場所: ローカルプロセスか、リモートサービスか
- 権限: コマンド実行、ファイル操作、外部変更、認証情報アクセスがあるか
- 出どころ: repository、package、配布元、所有者を確認できるか
- 通信先: どのサービスやネットワーク境界へアクセスするか
- 未確認事項: NEED_REVIEWの理由を許容できるか
限界
- 公開可能な集計と匿名化された観測に限定し、内部判定ロジックは扱わない。
- 数値はスナップショットであり、Registry更新により変わる。
- 特定のMCPサーバーを名指しで安全または危険と断定するものではない。
- PASSは全環境での安全保証ではない。導入先の権限、データ、ネットワーク境界によって追加レビューが必要になる。
まとめ
20,629件のPublic Registryで最も大きな発見は、MCP導入判断の大半が単純なallow/blockではなく、理由を読んで権限と境界を決めるレビュー問題だという点である。MCPを導入するチームは、実行境界、変更権限、source、auth、未確認事項を分けて記録するだけで、導入前レビューの質を大きく上げられる。
MCP Guard は、Public Registry と検査プロファイルをもとに、MCP導入前に確認すべき根拠を継続的に整理している。