MCPが新ロードマップ公開、HTTP統一とエージェントID管理に注力

Linux Foundation傘下でModel Context Protocol（MCP）の仕様策定を担う「Agentic AI Foundation（AAIF）」のコア開発者たちが、今後のMCPの進化の方向性を示す新たなロードマップを公開した。Publickeyが伝えたところによれば、ロードマップは5つの優先分野に整理されており、AIエージェント向けメッセージング、HTTP通信への統一、エージェントのアイデンティティ管理とエンタープライズ向けセキュリティ、基本ツールの改善、SDKの開発者体験向上が挙げられている。MCPの公式ブログもこの発表を伝え、今回のロードマップは「次回の仕様リリースとその先を見据えたもの」であり、コア開発者と各ワーキンググループのコミュニティが共同で策定したと説明している。

MCPはもともと2024年11月にAnthropicが、自社のAIモデルClaudeを外部のデータソースやツールに接続するために提唱した通信プロトコルである。2025年12月9日、Linux Foundationはこのプロトコルの寄贈を受けて「Agentic AI Foundation（AAIF）」を新設したと発表した。AAIFにはAmazon Web Services、Anthropic、Block、Bloomberg、Cloudflare、Google、Microsoft、OpenAIなどがプラチナメンバーとして参加している。Linux Foundationの発表によれば、MCPはこの1年で最も急成長したオープンソースプロジェクトの一つとなり、月間のSDKダウンロード数は9700万件、稼働中のサーバー数は1万件を超え、ChatGPT、Claude、Cursor、Gemini、Microsoft Copilot、Visual Studio Codeなど主要なAIプラットフォームで標準的に採用されている。今年7月には、アクセスを一括管理できる「Enterprise-Managed Authorization（EMA）extension」が安定版となり、接続がステートレスになったことで大規模なスケーリングが容易になる大型アップデートも行われた。

5つの優先分野

MCP公式ブログ「The New MCP Roadmap」によれば、今回のロードマップは3月に公開された前バージョン（トランスポートの進化とスケーラビリティ、エージェント間通信、ガバナンスの成熟、エンタープライズ対応の4分野）を踏まえたものだ。過去5カ月の進捗の大半は、直近の「2026-07-28」仕様リリースに反映済みという。具体的には、プロトコルレベルのセッションと初期化ハンドシェイクが廃止されサーバーがステートを保持せずに水平スケールできるようになったこと（SEP-2575、SEP-2567）、クライアントが接続前にサーバーの対応バージョンや機能を確認できる`server/discover`呼び出しの追加、一覧結果のキャッシュ対応（SEP-2549）などが挙げられている。

• エージェント向けメッセージング：サーバー主導のイベント配信（Webhookやチャンネル）を整備し、クライアントがポーリングせずに結果を受け取れるようにする。Tasks拡張（SEP-2663）を仕様本体に格上げする作業も含む
• HTTP通信への統一：リモートサーバーだけでなくローカルサーバーもStreamable HTTPに統一し、stdio経由でもHTTP/2の多重化を活用できるようにする
• エージェントのアイデンティティとエンタープライズ向けセキュリティ：Demonstrating Proof of Possession（DPoP）の仕様を確定させ、Workload Identity Federation（SEP-1933）やID-JAGによるトークン交換など、人間の承認に頼らずエージェント自身の身元を安全に扱う仕組みを整備する
• 基本ツールの改善：`tools/call`の応答形式を標準化し、ツール数が多いサーバーでもモデルが全カタログを一度に読み込まずに段階的に発見できる仕組み（progressive discovery）を導入する
• SDK開発者体験の改善：クライアント・サーバー実装者だけでなくAIエージェント自身がSDKを使ってコードを書く機会が増えていることを踏まえ、APIの一貫性とドキュメントの正確性を高める

企業にとって何が変わるのか

現在のMCP認証は、ブラウザ上で人間がアクセスを承認することを前提に設計されている。しかし公式ブログは、AIエージェントがクラウドワークロードとして独自のアイデンティティを持ち、不在のユーザーに代わって処理を行ったり、サブエージェントに限定的な権限を委譲したりする場面が増えていると指摘する。今回のロードマップは、貼り付け式のAPIキーや長期間有効なトークンに頼るのではなく、既存の標準規格に基づいてエージェントの身元を認識・信頼できる仕組みをMCPに組み込むことを目指す。具体的にはIETFのOAuthおよびWIMSEワーキンググループとも連携しながら、標準化されたトークン交換の仕組みを構築するという。またHTTP通信への統一は、リモートMCPサーバーを他のAPIと同じインフラで運用できるようにする狙いがあり、企業が社内システムをAIエージェントに接続する際の運用コストを下げることにつながる。

SEPの優先順位付けについて公式ブログは、5つの優先分野に該当する仕様変更提案（SEP）は迅速なレビューを受けられる一方、それ以外の提案は自動的に却下されるわけではないものの、審査により長い時間がかかり、より高い説明のハードルが課されるとしている。メンテナーのレビュー能力には限りがあり、優先分野にリソースを集中させるという方針を明確にした形だ。

日本企業にとっての意味

MCPはすでにChatGPTやClaude、Cursor、Gemini、Microsoft Copilot、Visual Studio Codeなど主要なAI製品で採用され、事実上の業界標準として定着しつつある。日本国内でAIエージェントを社内システムや業務データに接続する開発を進める企業にとって、今回のロードマップは実務上の指針になる。特にHTTP通信への統一が進めば、社内のMCPサーバーを既存のAPI基盤やロードバランサーと同じ運用体制でスケールさせやすくなり、インフラ担当者の負担軽減が見込める。またエージェントのアイデンティティ管理が標準化されれば、社員が退職・異動した後もAPIキーが残り続けるといった認証まわりのリスクを減らし、監査ログの整備やアクセス権限の細かな制御がしやすくなる。裏を返せば、現時点でAPIキーの共有や長期間有効なトークンに依存した接続を続けている企業は、今後のMCPアップデートに合わせて認証方式を見直す準備を始めておく必要がある。