概要
https://qiita.com/KawakamiSyota/items/9a81cdcb8e94a38748d7
詳細内容
## MCPにおけるセキュリティリスク #AI
https://qiita.com/KawakamiSyota/items/9a81cdcb8e94a38748d7
記事は、AnthropicのMCPにおけるHTTP通信でのOAuth認証が持つ「混乱した副官問題」というセキュリティリスクと、その具体的な対策手法を詳述します。
**Content Type**: 🛠️ Technical Reference
**Scores**: Signal:4/5 | Depth:4/5 | Unique:3/5 | Practical:5/5 | Anti-Hype:4/5
**Main Journal**: 81/100 | **Annex Potential**: 78/100 | **Overall**: 80/100
**Topics**: [[MCP, OAuth 2.0/2.1, セキュリティ, 混乱した副官問題, PKCE]]
Anthropicが提唱するModuler Cloud Protocol (MCP) は、近年注目されるAIを活用した開発において利用機会が増えていますが、本記事はHTTPベースのMCPサーバーで採用されるOAuth認証に潜む「混乱した副官問題」という重要なセキュリティリスクを詳細に解説しています。Webアプリケーション開発者にとって、この脆弱性はOAuth連携を実装するあらゆるサービスにおいて考慮すべき普遍的な問題であり、特に機微な情報を取り扱うAIエージェントの安全性を確保する上で不可欠な知識です。
記事では、まずMCPの通信プロトコルとしてHTTPが独立したプロセスでAPIのように機能し、OAuth 2.0/2.1に基づく認証システムを採用していることを説明します。OAuth認証の基本（リソースオーナー、クライアント、認可サーバー、リソースサーバーの役割と認可フロー）を簡潔にまとめた後、MCPプロキシサーバーが外部認証サーバーとクライアントの間を仲介する独自の認証フローを提示します。
「混乱した副官問題」とは、攻撃者が正当な認証プロセスに割り込み、本来正規のクライアントに送られるべきMCP認証コードを自身のクライアントにリダイレクトさせることで、ユーザーのリソースへの不正アクセスを可能にする攻撃です。MCPプロキシサーバーがどのクライアントに認証情報を発行すべきか正確に識別できないことが根本原因とされます。記事は攻撃のセットアップから外部認証コードの横取り、不正アクセス実行に至るまで、具体的な攻撃の流れを段階的に詳述します。
このリスクに対処するため、MCPサーバー開発者には以下の具体的な対策が推奨されます。
1. **リダイレクトURIの厳格な検証**: 事前に定義されたURIとの完全一致を確認し、部分一致やワイルドカードを禁止することで、予期せぬリダイレクトを防ぎます。
2. **PKCE (Proof Key for Code Exchange) の実装**: 認可コード横取り攻撃を防ぐための標準的な対策で、クライアントが生成する秘密の文字列（Code Verifier）によって、認可コードを横取りされてもトークン交換ができないようにします。
3. **Stateパラメータの実装**: CSRF攻撃を防ぐため、認証開始時に生成したランダム値をコールバック時に検証します。
これらの対策は、MCPのような新しいプロトコルに限らず、OAuth認証を利用する全てのWebサービスにおいてセキュリティを確保するためのベストプラクティスです。Webアプリケーション開発者は、AI連携サービスを構築・利用する際に、単に機能を実装するだけでなく、こうした認証メカニズムの深い理解と厳格なセキュリティ対策を講じることが求められます。利用者側も、提供されるツールの安全性を確認し、要求される権限を慎重に吟味する意識が重要です。AIエージェントがユーザーの代理として様々なリソースにアクセスする未来において、これらのセキュリティプラクティスは信頼性の基盤となります。