見出し画像

【初心者向け】いまさら聞けない「MCP」とは何か──AIが社外のツールやデータにつながる“共通の差し込み口”を、初心者向けに整理する

とふまる | AIを普及させる人

「AIエージェント」「マルチエージェント」という言葉をこの1か月だけでも何度も見かけた、という方は多いはずです。ではそのAIは、いったいどうやって自社のカレンダーや顧客データ、社内のファイルに“手を伸ばして”いるのでしょうか。その手の伸ばし方を決めている共通ルールが「MCP（Model Context Protocol）」です。今週もSalesforceが外部AIから自社データにつなぐ「ホスト型MCP」を製品の前面に出すなど、MCPは“縁の下”の話題から“事業の選択肢”へと位置を変えつつあります。日曜は、ニュースの羅列ではなく一つの言葉を腰を据えて解説する回。今日はこのMCPを、仕組み・使いどころ・注意点まで、専門用語を平易に補足しながら整理します。

MCPとは何か──ひとことで言うと「AIとツールをつなぐ共通規格」

MCP（Model Context Protocol）は、AI（大規模言語モデル）が外部のツール・データ・サービスにアクセスするための共通の約束事（プロトコル）です。Anthropicが2024年11月にオープンな標準として公開し、2025年12月にはLinux Foundation傘下の団体（Agentic AI Foundation）へ移管され、特定の一社に属さない形で運営する方向へ進んでいます（WorkOS, 2026／decodethefuture, 2026）。

よく使われるたとえが「AIにとってのUSB-C」です。かつては機器ごとに違う充電・接続ケーブルが必要でしたが、USB-Cという共通端子が広がったことで、1本のケーブルで多くの機器につながるようになりました。MCPはこれと同じ発想を、AIとツールの接続に持ち込んだものです。

MCPはAI共通の接続端子

なぜ生まれたのか──「N×M問題」を「N＋M」に変える

MCPが解こうとしているのは、業界で「N×M問題」と呼ばれる地味だが根深い課題です。

仮にAIアプリが3つ（例：Claude、ChatGPT、社内ツール）あり、つなぎたいデータ源が4つ（例：Slack、GitHub、社内DB、カレンダー）あるとします。MCPがない世界では、その組み合わせ一つひとつに専用のつなぎ込み（コネクタ）を作る必要があり、3×4＝12通りの接続を個別に開発・保守しなければなりません。AIもツールも増えれば、この掛け算は一気に膨らみます。

MCPは、ツール側が「MCPサーバー」という共通の窓口を1つ用意し、AI側が「MCPクライアント」としてその窓口に話しかける形に整理します。これにより、必要な接続は掛け算（N×M）から足し算（N＋M）に減ります。ツールを作る側は「どのAIにも一度の対応で済む」、AIを使う側は「対応済みのツールならすぐつなげる」という分業が成り立つ、というのがMCP最大のねらいです（WorkOS, 2026）。

仕組み──「ホスト・クライアント・サーバー」と3つの中身

MCPは大きく3つの登場人物で動きます。

  • ホスト：あなたが触っているAIアプリ本体（Claude Desktop、ChatGPT、Cursor、VS Codeなど）

  • クライアント：ホストの中で、各サーバーとの接続を管理する係

  • サーバー：ツールやデータ源の側に用意される「窓口」。SlackやGitHub、Salesforceなどが提供する

そしてサーバーが外に差し出せる中身は、おおむね3種類に整理されています（decodethefuture, 2026）。

  1. ツール（Tool）：AIが実行できる「動作」。例：メールを送る、レコードを更新する

  2. リソース（Resource）：AIが読み取れる「データ」。例：ファイルの中身、検索結果

  3. プロンプト（Prompt）：再利用できる「定型の指示テンプレート」

技術的には、これらをJSON-RPC 2.0という標準的な通信方式でやり取りします。ローカル接続（stdio）と、ネットワーク越しの接続（Streamable HTTP）の両方に対応しているのも特徴です。難しく聞こえますが、要は「ツールが自分にできることを機械が読める形で一覧にしておき、AIがその中から必要なものを選んで呼び出す」という流れだと考えれば十分です。

いまどれくらい広がっているのか

MCPは“提案”の段階を抜け、実際に動く規格として広がりつつあります。主だった数字を挙げます。

  • 公開されているMCPサーバーは1万件超（Anthropic、2025年12月時点）とされる。公式レジストリの登録数は9,652件（2026年5月24日のスナップショット）

  • 開発キット（Python／TypeScriptのSDK）の月間ダウンロードは9,700万回超（2025年12月時点）と報告されている

  • ソフトウェア企業を対象にした調査では、41%が本番運用に入っている（限定的＋広範囲の合計。Stacklok 2026年調査）

  • クライアント側もClaude系のデスクトップ/開発環境を中心に広がり、OpenAIやGoogleを含む主要AIベンダーもMCP対応を進めています

（数字の出典：digitalapplied, 2026／WorkOS, 2026）

今週このアカウントで触れたSalesforceの「Summer '26」アップデートでも、外部のAIクライアント（Claudeなど）から自社のデータやフローにつなげる「ホスト型MCPサーバー」が一般提供（GA）になっています。つまり「自社の業務システムをAIに開く窓口」として、MCPが企業向けメニューに正式に並び始めた、というのが今週の文脈です（Salesforce, 2026/6/15）。

実務でどう効くのか──「つなぎ込みの自前開発」が減る

仕事の現場で何が変わるのか。一番わかりやすいのは「AIに社内ツールをつなぐための専用開発が減る」ことです。

これまでは「社内のAIアシスタントにSlackを読ませたい」「議事録ツールにアクセスさせたい」と思うたび、個別の連携を作る必要がありました。対象ツールがMCPに対応していれば、その窓口（サーバー）を指定するだけで、複数のAIから同じように使い回せます。SaaSを乗り換えても、同じ規格に乗っていれば付け替えが効く、という移植性も期待できます。

ただし注意したいのは、MCPは「魔法のスイッチ」ではない点です。つなげば賢くなるのではなく、「AIがどのツールに、どこまで手を出せるか」を設計する作業はむしろ重要になります。

注意点──便利な“差し込み口”は、攻撃の入口にもなりうる

MCPの普及で、セキュリティの論点も同時に浮上しています。AIに社内ツールへの実行権限を渡すということは、その経路が乗っ取られたときの影響も大きくなるからです。

実際に2026年に入ってから、ツールの説明文に人間には見えない悪意の指示を仕込む「ツール・ポイズニング」や、外部データ経由でAIに不正な命令を紛れ込ませる「間接プロンプトインジェクション」といった手口が報告されています。GitHubのプルリクエストのタイトルに細工した指示を仕込み、Claude Code・Gemini CLI・GitHub Copilotといったエージェントに秘密情報を漏らさせた、という実証例も伝えられました（Practical DevSecOps, 2026）。

専門家が共通して挙げる対策の方向性は、特別なものではありません。「AIエージェントを“管理者権限を持つ一人のユーザー”と同じように扱い、最小限の権限だけ与える」「つないでいいMCPサーバーを社内で一覧管理し、素性の確かなものだけ許可する」「誰が・何に・いつアクセスしたかの記録を残す」。要は、人間の社員に権限を渡すときの常識を、AIにもそのまま当てはめる、ということです。MCP周辺でも、企業向けの監査記録やSSO連携を強化する動きが進んでいます（WorkOS, 2026）。

今日の整理を一言でいうと

MCPは「AIとツールをつなぐ共通端子」であり、N×Mの個別開発をN＋Mの分業に変えることで、AIエージェント時代の“配線”を標準化する規格です。便利さの裏で「どこまで権限を渡すか」という設計責任が増える点まで含めて理解しておくと、自社で導入を検討するときの判断が一段としっかりします。

明日以降に見るべきポイント

  • 対応ツールが「自社の使っているSaaS」に来ているか：Salesforceに続き、各業務ツールのホスト型MCP対応が増えるか

  • 権限設計とログのルール：「とりあえずつなぐ」から「管理して許可する」へ、社内ガバナンスの整備が追いつくか

  • 規格の更新：MCPは企業向けの監査・認証強化を盛り込んだ次期仕様の整備が進行中。落ち着いたら追って解説します


※本記事は2026年6月21日時点の公開情報をもとに整理したものです。数字や提供条件は今後変わる可能性があります。導入の可否は各社の環境・要件に応じてご判断ください。

いいなと思ったら応援しよう！