Deep Dive2026年4月23日Abcas Security Research
10,335件がローカルプロセス型だった: MCPの危険性は端末境界に集まりやすい
詳細プロファイル集計11,627件のうち10,335件がローカルプロセス型、10,070件がstdio型だった。MCPセキュリティでは、リモートAPIだけでなく、ローカル端末で何を起動するかが中心論点になる。
用語
| 用語 | 意味 |
|---|---|
| Public Registry | 公開Registryで検索可能な検査済みMCP候補 |
| 検査プロファイル根拠 | 公開候補を詳しく読むための検査プロファイル集計 |
| 確認対象 | WARN、NEED_REVIEW、RESTRICT、BLOCKのいずれかに分類され、導入前に理由を読むべき候補 |
リード
MCPという言葉からリモートサービスを想像しがちだが、実際の候補の多くはローカル端末でプロセスとして起動される。これは、ブラウザ拡張やSaaS連携とは違うリスク境界を作る。
Key Findings
- ローカルプロセス型は10,335件で、プロファイル母集団の大半を占めた。
- stdio型は10,070件で、もっとも一般的な接続形態だった。
- リモート公開サービス型は278件で、少数だが境界が異なる。
- ローカル起動型では、端末のファイル、環境変数、CLI、ネットワーク権限が導入判断の中心になる。
データセット
| 項目 | 値 |
|---|---|
| 記事日付 | 2026-04-23 |
| Public Registry snapshot | 20,629件、2026-06-06T01:17:38.963Z時点 |
| 詳細プロファイル根拠 | 11,627行、2026-05-20/21生成 |
| 公開できる粒度 | 集計値、分布、匿名化した観測、実務上の読み方 |
観測指標
| 指標 | 件数 | 読み方 |
|---|---|---|
| ローカルプロセス | 10,335 | ローカル端末でプロセスとして起動される候補 |
| stdio transport | 10,070 | 標準入出力でAIクライアントと接続される候補 |
| remote public service | 278 | 外部公開サービス側に境界が寄る候補 |
観測事実
ローカルプロセス型は、サーバーがユーザー端末や開発環境の中で動くことを意味する。ここでは、OS権限、カレントディレクトリ、環境変数、インストール時の依存関係が重要になる。 stdio型は便利だが、ネットワーク境界ではなくプロセス境界で考える必要がある。Web APIの認可だけでは、ローカルプロセスが何を読めるかを説明できない。
実務上の読み方
導入前レビューでは、設定ファイルに書くcommandとargsだけでなく、そのコマンドが取得するpackage、実行時のHOME、作業ディレクトリ、環境変数を確認するべきである。 ローカル起動型MCPは、専用ユーザー、限定ディレクトリ、最小権限、ネットワーク制限を組み合わせるとリスクを下げやすい。
限界
- プロファイル上の実行形態は公開情報と検査結果に基づく分類であり、利用者の実際の設定で変わる場合がある。
- stdio型であること自体は危険ではない。
- ローカル隔離の具体実装はOSやAIクライアントによって異なる。
まとめ
MCPセキュリティの大きな部分は、リモートAPIの問題ではなく、AIクライアントがローカルで何を起動し、何に触れるかという端末境界の問題である。
MCP Guard は、Public Registry と検査プロファイルをもとに、MCP導入前に確認すべき根拠を継続的に整理している。