ガイド
AI用語辞典セキュリティ
シャドーMCP (未承認MCPサーバ)
読み: しゃどーえむしーぴー
最終更新: 2026-08-14・AI PICKS編集部
定義
シャドーMCPとは、情シスの承認を経ずに従業員や開発チームが個人判断で導入・接続する未承認のMCPサーバーのことをいう。
シャドーMCP (未承認MCPサーバ)とは — 詳しく解説
MCP（Model Context Protocol）はAIエージェントが外部ツールやデータソースに接続するための標準プロトコルとして急速に普及した。シャドーMCPは、シャドーITの一種で、情シスやセキュリティ部門の承認・棚卸しを経ないまま従業員や開発チームが独自に立てたMCPサーバーや、出所不明の外部MCPサーバーに接続してしまう状態を指す。社内データや認証情報が意図せず外部へ送信されるリスクや、悪意あるサーバー経由でのプロンプトインジェクション・コマンド実行のリスクが指摘される。2026年時点の実運用では、稼働中のMCPサーバーを棚卸しする資産可視化と、接続先を許可リスト化するゲートウェイの導入が現場の主な対策とされる。コスト面では監視・ガバナンスツールの導入費用と開発速度を落とさない運用ルール設計の両立が課題になりやすく、自社の相場感に合わせて段階的に導入する進め方が現実的とされる。
シャドーMCP (未承認MCPサーバ)の使用例
- 開発チームがSlack連携用MCPサーバーを情シス未申請のまま社内APIキーで稼働させていた。
- 退職者が個人アカウントで立てたMCPサーバーが棚卸し漏れで放置され、接続経路として残っていた。
シャドーMCP (未承認MCPサーバ)に関連するAIツール
シャドーMCP (未承認MCPサーバ)の関連記事
関連用語
「セキュリティ」の他の用語
プロンプトインジェクション
ユーザー入力で AI の指示を上書きする攻撃。 「これまでの指示は無視して◯◯」 が典型例。
ジェイルブレイク
AI の安全制限を回避する手法。 ロールプレイや仮想シナリオで 禁止出力を引き出す。
ガードレール (Guardrails)
ガードレールとは、AIシステムが有害・不適切・意図しない出力を生成しないよう制限するための安全制御機構のこと。
レッドチーミング (Red Teaming)
レッドチーミングとは、AIシステムの安全性・脆弱性を検証するため、攻撃者の視点から意図的に悪意ある入力やシナリオを試みる評価手法のこと。
シャドーAI (Shadow AI)
シャドーAIとは、企業のIT部門や経営層の承認なしに従業員が個人的に業務で使うAIツール・サービスのこと。情報漏洩・規約違反・ガバナンス崩壊のリスクを内包する。
モデルポイズニング (Model Poisoning)
モデルポイズニングとは、AIモデルの学習データに悪意あるデータを混入させ、モデルの出力や判断を意図的に歪める攻撃手法のこと。
用語がわかったら、次はツール選び
12カテゴリ・1468語以上を体系的に整理しています