エージェントの重大な欠陥がMCP導入におけるプロトコルピボットリスクを露呈

「プロトコルピボット」とは、AIエージェントが受け取った悪意ある指示が、内部サービスへの正当なリクエストに見せかけて変換されるシナリオを指し、サーバーサイドリクエストフォージェリ（SSRF）やインジェクション攻撃として現れることが多い。Mohiuddinの研究は、このパターンがモデルとツール間通信を利用する多様な組織で繰り返し見られることを示している。

Googleの高深刻度CVE‑2026‑14540

Googleでは、CVE‑2026‑14540として catalogued された脆弱性はCVSSベーススコア8.0を取得し、攻撃可能性と影響度が高いことを示す。欠陥はエージェントが提供するリダイレクトURLやIPアドレスの検証が不十分だったことに起因し、下流サービスに到達する前に不正なリクエストが送られた。Googleのパッチは厳格な許可リスト、ブロックリスト、起動時チェックを導入し、危険な構成を拒否することでデータフローを強化した。

その他の企業・公共部門での事例

JPMorgan Chaseの公開リポジトリには許可リストが全く設定されていないリカバリーツールがあり、任意の内部エンドポイントへ接続できた。問題が報告された後、同社はツールを削除し、適切なアクセス制御を追加した。Weaviateはマージリクエスト（ID 12961）で露出エンドポイントを絞り込み、フランスのDINUMは2026年9月にSSRF防御を強化した。インドネシア・タンゲラン市は発見から約1日で脆弱サービスを修正した。

Rapid7が別途追跡するCVE‑2026‑97228は、CVSSスコア2.7のGraphQLインジェクションであり、すべてのプロトコルピボット関連バグが同等の深刻度ではないことを示す。スコアが低いのは攻撃面が限定的であるためだが、異なるリクエスト形式でも問題が広がっていることを示している。

プロトコルピボットの主要な技術的特徴

• エージェントが言語モデルまたはユーザーからの信頼できない入力を受け取る。
• 入力が適切なサニタイズなしにツールへ転送される。
• ツールが入力を信頼できる内部リクエストとして解釈する。
• 結果としてSSRF、インジェクション、または設定ミスが悪用される。

Mohiuddinの分析は、根本原因が多くのMCP設計に組み込まれた「モデル出力は下流サービスへの信頼できるデータである」という前提にあることを指摘する。この前提は、プロンプトインジェクションや敵対的サンプルによってモデル出力が操作された場合に崩壊する。

研究者は、モデルが生成するすべての値を外部ツールに渡す前に再検証するゼロトラストアーキテクチャを推奨している。検証手段としてはスキーマチェック、許可リスト照合、ランタイムサンドボックス化などがあり、単一の不正な値が特権操作を引き起こさないようにする。

MCPを利用する組織への影響

言語モデルと内部APIを統合した企業は、データフローパイプラインの再評価が必要だ。プロトコルピボットが存在すると、あるコンポーネントの侵害が連鎖的に広がり、機密内部サービスやデータストアが露出する可能性がある。

規制当局や監査機関は、金融や行政といった分野でのMCP実装に対し、ゼロトラスト制御の有無を厳しくチェックするだろう。

日本の企業にとって実務的な変更点は明確だ。すべてのハンドオフポイントで厳格な入力検証を実施し、内部サービス呼び出しには許可リストを適用し、AIエージェントからの予期しない外部リクエストを検知する監視体制を導入することだ。モデル出力をデフォルトで不信とみなすことで、プロトコルピボットリスクを軽減し、重要インフラを新たなAI支援型攻撃から守ることができる。