脆弱性トリアージを5分で判断する方法——4つの指標の読み方

Notion の公式 MCP コネクタに脆弱性が発見され、プロンプトインジェクション攻撃を通じて Claude などの AI エージェントがタスク実行中に製品広告を挿入されるリスクが報告された。MCP 統合を使用する場合、入力データの検証とサンドボックス環境での利用を推奨。

MCP の tool description はメタデータではなく、LLM のシステムプロンプトに直接埋め込まれるため、攻撃者がそこに記述した3行の指示でユーザー承認前の LLM の判断を上書きできる。この「Line Jumping」と呼ばれる脆弱性は Claude Desktop・Cursor・Cline の3クライアント全て に共通して存在し、tools/list 応答時の description・name・inputSchema いずれにも適用可能。

著者が 4 万通の Outlook メールを AI に片付けさせるため MCP サーバを自作。既存実装は送信・完全削除が可能だったため、逆にこれらを「実装しない」設計に。Mail.Send 権限を要求しないことで、エージェント乗っ取り時にも Microsoft Graph 層で送信をブロック。プロンプトインジェクション攻撃に対し、コード層の if 文ではなく ID 層での強制によって対抗する手法を解説。

Model Context Protocol (MCP) は 2024 年の発表後わずか 13 ヶ月で Claude、ChatGPT、Gemini が採用する業界標準となり月間 9700 万ダウンロードを達成した。しかし 2026 年に入り、OX Security による設計上の欠陥指摘（STDIO のデフォルト設定が RCE を許可）、Tool Poisoning 攻撃の発見など、10 件以上の Critical レベル CVE が発行される深刻なセキュリティ問題が一気に噴出している。