MCP tool description による3行のシステムプロンプト乗っ取り

著者が 4 万通の Outlook メールを AI に片付けさせるため MCP サーバを自作。既存実装は送信・完全削除が可能だったため、逆にこれらを「実装しない」設計に。Mail.Send 権限を要求しないことで、エージェント乗っ取り時にも Microsoft Graph 層で送信をブロック。プロンプトインジェクション攻撃に対し、コード層の if 文ではなく ID 層での強制によって対抗する手法を解説。

Model Context Protocol (MCP) は 2024 年の発表後わずか 13 ヶ月で Claude、ChatGPT、Gemini が採用する業界標準となり月間 9700 万ダウンロードを達成した。しかし 2026 年に入り、OX Security による設計上の欠陥指摘（STDIO のデフォルト設定が RCE を許可）、Tool Poisoning 攻撃の発見など、10 件以上の Critical レベル CVE が発行される深刻なセキュリティ問題が一気に噴出している。

Claude Code や Cursor がファイル読み書き時に個人情報（PII）をLLMサーバーに送信する問題に対し、MCP層での透過的な自動マスキング・復元機構を提案。正規表現・暗号化辞書・AIによる文脈判定の3層で顧客名やメールアドレスなどを検出し、セッション内で確定的なトークンに置換することで、ローカル完結のまま情報流出を防止する。

AIエージェントから pytest を実行する際、GitHub Personal Access Token (PAT) のセキュリティ問題に直面した開発者が、既存 MCP サーバーでは満たせない要件に気づき、Python で独自の MCP サーバーを実装。環境変数経由でトークンをコンテナに渡し、プロンプトインジェクション攻撃からの保護と実環境に近いテスト環境を実現した。