MCP仕様がステートレス接続へ ― GitHub早期対応で見えるAIエージェントの新たな攻撃面

MCP（Model Context Protocol）は、AIエージェントが外部ツールやデータソースを呼び出すための事実上の標準プロトコルとして急速に普及した。その最新仕様が7月28日付で更新され、コネクションを状態（セッション）に依存させない「ステートレス」な設計が正式にサポートされる。GitHubは自社のMCPサーバがこの新仕様に早くも対応したと発表しており、業界の追随は速いとみられる。地味な仕様変更に見えるが、AIエージェントの「攻撃面」を考えるうえでは無視できない転換点だ。

セッションという「盗まれる鍵」 #

これまでのMCPは、クライアントとサーバの間で長時間有効なセッションを張り、その中で認可状態や会話コンテキストを保持する設計が一般的だった。だが長寿命のセッショントークンは、盗まれれば正規のAIエージェントに成りすまして任意のツールを呼び出せる「鍵」そのものになる。エージェントがコードやデータベース、クラウドの認証情報にまでアクセスできる権限を持つ以上、セッションハイジャックは単なる不正アクセスにとどまらず、リポジトリ改ざんや機密情報の抜き取りといった重大な被害につながりかねない。

ステートレス化で消える脅威、残る脅威 #

リクエストごとに認可情報を渡し直すステートレス設計になれば、長期セッションを乗っ取る攻撃はほぼ意味を失う。一方で、毎回の認可検証をサーバ側が正しく実装する負荷は増える。検証漏れがあれば「確認済みのはずの呼び出し」がそのまま素通りするリスクは変わらない。GitHubのように大量のリポジトリとシークレットを扱うMCPサーバが真っ先に追随した事実は、AIエージェント経由のサプライチェーン攻撃が既に現実的な脅威として意識され始めていることを物語っている。エージェント基盤を運用する側は、仕様追随だけでなく認可ロジックの再監査を今のうちに検討すべきだろう。