MCPとは？AIエージェントに外部ツールをつなぐ仕組みと注意点

冒頭の結論：MCPはAIに外部窓口を持たせる仕組み

MCPとは、AIエージェントと外部ツール・データソースをつなぐための仕組みです。初心者向けに言えば、AIに手足や外部窓口を持たせるようなものです。AIが会話だけでなく、ファイル、データベース、GitHub、ブラウザ、ローカルツールなどにアクセスしやすくなります。

ただし、便利さとリスクは表裏一体です。AIが外部ツールに触れるということは、読み取り、書き込み、削除、外部送信、本番環境操作の可能性も出てきます。個人開発でも、権限設計を軽く見ると普通に事故ります。

この記事で分かること

• MCPとは何か、AIエージェントとどう関係するのか
• MCPで便利になる作業の具体例
• 個人開発者が注意すべきセキュリティリスク
• 最初に試すときの安全な考え方

MCPでできることとリスク

CodexやClaude CodeでMCPを使う前の確認

• 接続先のMCPサーバーが何を読み、何を書けるか確認する
• APIキーやトークンをどこに保存し、AIに値を見せないか決める
• ファイル操作は読み取りから始め、削除や一括編集は確認制にする
• GitHub、ブラウザ、DB、本番環境への操作は人間が最後に判断する
• 便利そうという理由だけで、出所不明のMCPサーバーを追加しない

個人開発者にとって重要な理由

個人開発では、AIエージェントに任せたい作業が増えます。記事追加、ビルド確認、GitHubのIssue整理、ローカルファイルの確認、ブラウザでの表示チェックなどです。MCPを使うと、こうした作業をAIが扱いやすくなります。

一方で、個人開発者は権限管理も一人で背負います。会社のようにレビュー担当、セキュリティ担当、運用担当が分かれていないため、自分で止める場所を設計する必要があります。

向いているケース

• ローカルのドキュメントやコードを読みながらAIに整理させたい
• GitHubのIssueやPRと連携して作業を進めたい
• ブラウザ表示を見ながらUIの崩れを確認したい
• 社内ではなく個人の範囲で、読み取り中心に小さく試したい

向いていないケース・注意点

• APIキーや秘密情報にアクセスできる設定は慎重にする
• ファイル削除や本番環境操作を許可しない
• 最初は読み取り中心から試す
• 権限を最小限にする
• 外部送信がある場合は、何がどこへ送られるか確認する

よくある誤解

MCPを入れればAIエージェントが何でも安全に自動化してくれる、というのは誤解です。MCPは接続の仕組みであって、安全運用そのものではありません。安全にするには、読み取りと書き込みを分け、危険操作を確認制にし、権限を必要最小限にする必要があります。

まとめ：MCPは便利だが、権限設計が本体

MCPとは、AIエージェントに外部ツールやデータソースへの接点を持たせる仕組みです。個人開発でも強力ですが、最初は読み取り中心、権限は最小限、危険操作は人間が確認する。この線引きなしに使うと、便利さより事故の方が先に来ます。

MCPは外部ツール権限の入口としてレビューする

MCPはAIエージェントに道具を渡す仕組みです。便利さが増えるほど、読み取り、書き込み、外部送信、削除、ログの境界が重要になります。MCP追加は機能追加ではなく権限追加としてレビューします。

ZCodeのMCP importは便利だが、権限拡張として扱う

ZCodeはClaude Code、Codex CLI、OpenCodeなど外部AgentのMCP設定をscanし、importできると説明されています。これは再設定の手間を減らしますが、安全装置ではなく権限拡張です。

MCPを実際に導入する前の権限チェック

MCP入門としての役割は維持し、導入前の権限設計は最小権限ガイドへ分けます。MCPはAIに道具を増やす仕組みなので、最初から強い権限を渡さないことが大切です。

MCPの基本はhost・client・serverを分けて読む

現行のMCP仕様は、LLMアプリと外部データ・ツールを接続するopen protocolとして、host、host内のclient、contextや機能を提供するserverを分けます。serverが提供するresources、prompts、toolsと、client側の機能を同じ権限として読まず、どの層がデータを持ち、どの層が操作を実行するのかを確認します。

Codexではdesktop・CLI・IDEとChatGPT webを分ける

OpenAIの現行Codex Docsでは、ChatGPT desktop app、Codex CLI、IDE extensionは同じCodex hostのMCP設定を共有します。一方、ChatGPT webのWork Pluginsが使うremote MCP toolsはlocal Codex configを読む面とは別です。~/.codex/config.tomlと、trusted projectに限るproject-scoped .codex/config.tomlの置き場所も、credentialと共有範囲に合わせて決めます。

• STDIOはcommandで起動するlocal process、Streamable HTTPはaddressへ接続するserverとして分ける
• Bearer token、OAuth、trusted first-partyのChatGPT session authenticationを同じ認証方式と扱わない
• serverのinstructionsはserver-wide guidanceだが、projectルール、人間の承認、hostのtool policyを自動で上書きしない
• server全体とtool単位のapproval mode、enabled_tools・disabled_toolsの最終集合を確認する

MCPの仕様が決まっても、安全運用は別に設計する

MCP仕様はuser consent、data privacy、tool safetyを実装者が扱うべき原則として示しますが、protocolだけで安全を保証するものではありません。外部データを送る範囲、toolが起こすside effect、認証情報、削除・公開操作を確認し、最初はread-onlyと明示的な承認から始めます。