MCPでAIと社内システムをつなぐ時、いちばん怖いのは「つなぎすぎ」です。この記事では、権限・記録・巻き戻しの3本柱で失敗を防ぐ考え方を、MCPの公式仕様が掲げる安全の原則と合わせて整理します。

怖いのは「つなぎすぎ」

MCPにまつわる失敗の多くは、規格そのものではなく「渡す範囲・許す範囲を決めずに全部つないだ」形で起きます。AIに見せて良いデータとそうでないデータの区別が無いまま全社のシステムにつなぐと、①何が読まれたか分からない ②誤った操作の影響が大きい ③事故の原因を特定できない——この3つが同時に起きる状態になります。

たとえば「最初の業務には関係ない台帳まで、丸ごと読み取り可にしてしまった」という形は、典型的なつなぎすぎです。便利さを急ぐあまり範囲を決めないまま進めると、後から範囲を狭める作業は最初から決めるより手間がかかります。

MCPの公式仕様は、Security and Trust & Safety の節で、安全の原則を4つ掲げています。

  • 利用者の同意と制御：データへのアクセスと操作には、利用者の明示的な同意と理解が要る
  • データの保護：hostは、利用者のデータをserverへ渡す前に明示の同意を取り、同意なしに他へ送らない
  • Toolsの安全：Toolsは任意のコード実行に当たるため、hostはツールの呼び出しに利用者の明示の同意を取るべき
  • Samplingの制御：serverからAI（LLM）への生成の求めは、利用者が明示的に承認し、送る中身と結果を制御できるべき

大事なのは、この仕様自身が「MCP自体はこれらの原則をprotocolの段で強制できない＝実装する側が備えるべき」と明記している点です。つまり安全は「規格が守ってくれる」物ではなく、つなぐ口を作る側・運用する側が設計で作る物です。当社が備えとして用意するのが、権限・記録・巻き戻しの3本柱です（当社の進め方であって、MCP自体の機能ではありません）。

権限：何を許すか先に決める

権限の設計は「何を許すか」を先に決める仕事です。当社は2つの軸で決めます。

1つ目の軸は、できることの幅です。読み取り（照会）だけを許す／書き出し（作成）まで許す／定型の手続き（操作）まで許す——この3段階のどこまでを許すかを、業務ごとに決めます。最初は読み取りだけ、が基本です。

2つ目の軸は、渡すデータの範囲です。棚卸しで「どのシステムにどんなデータが在るか」を洗い出した表に対して、「この業務にはこの範囲まで」と決めます。法律や規約で外部への送信が許されない情報は、そもそも渡す対象から外します。

たとえば保育・教育の現場なら「記録の読み取りは許すが、保護者向けの文面の送信は人の確認を挟む」、食品卸なら「在庫の照会は許すが、発注の確定は操作の範囲に入れず様子を見る」——このように業務の言葉で線を引けるのが権限の設計です。線の引き方に正解は1つではありませんが、「引いた線が書き言葉として残っているか」はどの会社でも同じ土台になります。

MCPの公式仕様は、Toolsは任意のコード実行に当たるため、hostはToolを呼ぶ前に利用者の明示の同意を取るべきと書いています。操作を許す時は、何を・いつ・誰の同意で実行するかを形にしておくのが、この原則に沿う実装です。範囲を変える時（新しい業務をつなぐ時など）は、同意を取り直すのが当社の作法です。

記録：AIが何をしたか残す

記録は「AIが何をしたか」を追える形で残す仕事です。残すのは主に3つです。

  • いつ、どのデータに触れたか（読み取りの記録）
  • 何を書き出したか（作成の記録）
  • 何を・誰の同意で実行したか（操作の記録）

記録の役目は2つあります。1つは、事故の際に原因と範囲を特定できること。もう1つは、普段の運用の見直しの材料になること。「どのデータがよく読まれているか」は、業務の実態と権限の設計が合っているかを確かめる物差しにもなります。

なお、記録は溜めるだけでは意味がありません。見る人と見る日が決まって初めて記録になります。その習慣の作り方は、この記事の最後の節で扱います。

MCPの仕様にもserverからログを送る仕組み（Logging）はありますが、誰の同意で何を実行したかを残すこの記録は、公式仕様の原則（利用者の同意と制御・データの保護）に沿って、実装する側が設計で備える物です。

巻き戻し：元に戻せる形にしておく

巻き戻しは、誤った操作が起きた時に被害を最小に留める仕事です。当社は3つの形で備えます。

  • 操作の前後に確認を挟む：AIが進めた結果を、人が確かめてから次へ進める
  • 元の形を残す：書き出し・入力の前の状態をコピーで残し、差し戻せるようにする
  • 戻せない操作は許さない：元に戻せない手続きは、そもそもAIに渡さない設計も選べる

「全部任せて、事故が起きたら巻き戻す」ではなく、「巻き戻せる範囲だけ任せる」——順序をこの向きにしておくのがコツです。操作系は、照会・作成が定着してから段階的に広げるのが当社の基本の進め方です。この3つの形は、最初の試験（1業務・読み取りだけ）の段階から回しておくと、本格導入の時に作り直しが要りません。

社内規定との合わせ方

3本柱は、社内規定と合わせて初めて回ります。規定に書く最低限の3項目は次のとおりです。

  • 渡して良いデータの範囲（業務・システムごと）
  • 止め方：誰が・どの印で止めるか
  • 記録の保管と、見る人

規定は一度で完成しません。使いながら直す物なので、最初は1枚から始めます（A4で1枚、箇条書きで十分です）。3本柱と同じ軸（権限・記録・巻き戻し）で規定を書いておくと、後の見直しが楽になります。制度（補助金）との合わせ方や、規定の雛形の紹介は続く記事で扱う予定です。進め方全体は「岩手・盛岡の会社がMCPを入れる時の進め方」で詳しく扱っています。

毎日の確認の習慣

設計が済んだら、次は習慣の話です。安全は導入時に一度作って終わりではなく、毎日の運用で保つ物だからです。

  • 記録を誰が・どの頻度で見るかを決めておく（週に1度でも、見る人と日が決まっていれば回ります）
  • 現場の人が「様子がおかしい」と言いやすい形にしておく（使いにくさは、小さい不具合の最初の印です）
  • 節目で権限を見直す（業務が変わった時・道具を替えた時・担当が替わった時）

止め方も、いざという時に初めて考えるのでは遅い物です。「この印が出たら止める」という手順を、普段の小さい確認の中で確かめておくと、本番は慌てずに済みます。止める練習までが、安全の設計のうちです。

MCPの公式仕様が「利用者の同意と制御」を最初の原則に置いているのは、使う人が状況を把握し続けることに安全の中心がある、という考え方だと当社は読んでいます。

この記事で挙げた権限・記録・巻き戻しの3本柱は、MCPの公式仕様が掲げる4つの原則（利用者の同意と制御・データの保護・Toolsの安全・Samplingの制御）と「MCP自体はprotocolの段で強制できない＝実装する側が備えるべき」という書きぶりを受けて、当社（株式会社興縁・盛岡市八幡町4-24）が進め方として用意している物です（MCP自体の機能ではありません）。この設計から実装・定着までを一気通貫で伴走します。MCP導入・構築支援の頁の「安全に入れる3つの柱」の節もご覧ください。相談は無料相談からお気軽にどうぞ。