MCPとは｜AIと社内システムをつなぐ規格の仕組みと導入判断

MCP(Model Context Protocol)とは、AIアシスタントやAIエージェントを、データがある場所につなぐための共通規格です。 Anthropicが2024年11月25日にオープンな標準として公開したもので、社内データベース・SaaS・ファイル・開発環境との双方向のやり取りを、同じ作法で行えるようにします。導入の判断で本当に問われるのは「つながるかどうか」ではなく、権限をどこまで絞れるかと、操作の履歴が残るかです。この記事では、仕組みと業務での使いどころ、混同されやすいWebMCPとの違い、そして接続前に確認すべき項目までを整理します。

MCPとは何か — 「AIの拡張口」を1つの規格にそろえる

AIに社内の情報を使わせようとすると、これまでは組み合わせの数だけ実装が必要でした。3つのAIツールと3つの社内システムをつなぐなら9通り、5×5なら25通りです。MCPは、この間に共通の規格を1枚挟むことで、実装を「AI側の対応」と「システム側の対応」の足し算に変えます。

Anthropicの説明では、MCPは「データソースとAIを使うツールの間に、安全な双方向の接続を作るためのオープンな標準」と定義されています。公開時点でGoogle Drive・Slack・GitHub・Git・Postgresなどへの接続部品が用意され、Block・Apolloといった企業が早期採用として名を連ねました。特定のAIベンダー専用の仕組みではない点が、社内システム側が対応に動きやすかった理由です。

用語としての定義はMCPにもまとめています。

MCPとWebMCPは別物

日本語の解説でもっとも混同されているのがここです。名前が似ていますが、つなぐ相手が逆を向いています。

同じ社内でも、話をする相手が変わります。「MCPを検討しよう」という会話が噛み合わないときは、たいていどちらの話をしているかがずれています。 WebMCP側の具体的な実装手順はWebMCPの実装方法、CDNの機能として有効化する場合はCloudflare WebMCPとはで扱っています。

Model Hardware Standard(MHS)とは — MCPの隣に出てきた「機械をつなぐ」規格

2026年8月27日、AnthropicはModel Hardware Standard(MHS)をリサーチプレビューとして公開しました。MHSとは、AIエージェントが顕微鏡やロボットアームなどの物理的な機器を安全に操作するための共有仕様です。MCPが対象にしてきたのはソフトウェア——社内データベース・SaaS・ファイル——でしたが、MHSはその外側にある実機を対象にします。

構成は2つです。read と write という単純な命令でやり取りする標準ドライバと、機器の物理的な特性・安全上の限界値・調整できるパラメータを記した参照ファイル。Anthropicは、これによって機器とAIの接続にかかる時間が数週間〜数か月から数時間〜数分に短縮されると説明しています。顕微鏡・液体ハンドラ・ロボットアームなど、複数の機器を並行して動かす使い方を想定しています。

営業・マーケの実務にすぐ効くものではありません。現時点のMHSは、科学研究ラボと先端製造の第一グループに限定されたリサーチプレビューで、利用には申し込みが必要です。一般提供ではありません。Anthropicは将来のオープンソース化を表明しており、早期のパートナーとしてGenentech、HHMI Janelia Research Campus、カーネギーメロン大学、QuEra Computing、Universal Robots、Tecan、Danaher、Doosan Robotics、AWS、Hugging Face、Raspberry Piなどが挙げられています。

この記事の読者にとっての接点は1点です。MHSはモデル非依存で設計されており、任意のエージェントの実行環境がMCPなどの標準プロトコル経由でアクセスできるとされています。MCPという「AIと道具の間の共通言語」の考え方が、業務システムの外——物理機器まで対象を広げつつある。いまはその位置づけで押さえておけば足ります。

業務での使いどころ

生成AIの弱点は、社内の事情を知らないことでした。MCPはそこを埋めます。営業・マーケの現場では次のような形で効きます。

上3つは読み取りだけで成立します。書き込みを伴うのは最後の1つだけで、ここから先はリスクの質が変わります。読み取りの誤りは気づけば直せますが、書き込みの誤りは他人の作業に影響します。

AIベンダーの純正プラグインという第2の経路

AIと業務システムをつなぐ道は、自社でMCPサーバーを立てるだけではありません。AIベンダー自身が主要SaaS向けに用意する純正プラグインが先に来ることがあります。OpenAIは2026年9月3日、ChatGPTとCodexのプラグインディレクトリに、自社開発のZendeskプラグインとOneNoteプラグインを追加しました(いずれもベータ)。Zendeskプラグインでできるとされているのは、サポートチケットと顧客履歴の確認・関連するナレッジの検索・返信の下書きです。

注目したいのは、この経路が前節の判断軸にどう答えるかが、自前のMCPサーバーとは違う点です。

公式ヘルプは権限について「Installing the plugin does not grant additional Zendesk permissions.(プラグインを入れても追加のZendesk権限は付与されない)」「Each person who uses the individually authorized connection needs to connect their own Zendesk account.(個別に認可された接続を使う人は、それぞれ自分のZendeskアカウントを接続する必要がある)」と書いています。権限がAIの側ではなく利用者本人の側で決まる設計で、前述の「全部入り」とは効き方が逆になります。

ただし今日から誰でも使えるわけではありません。公式ヘルプは「Availability depends on the account and current rollout.(提供状況はアカウントと、現在進行中のロールアウトによる)」としており、段階的な展開の途中です。自社で使えるかどうかは、プラグインディレクトリを実際に開いて確認してください。

順序として言えるのは、つなぎたい相手が主要SaaSなら、自前でMCPサーバーを立てる前に純正プラグインの有無を確かめるということです。権限と履歴の設計をベンダー側が引き受けている分、最初の1系統としては安全側に倒せます。

導入判断の軸は「つながるか」ではなく「権限と履歴」

ベンダーの説明は「◯◯と連携できます」に集まりがちですが、実務で先に確認すべきはその手前です。

MCPサーバーに接続したエージェントは、そのサーバーが公開している機能一式を受け取る設計になっています。 必要な操作だけを選んで渡す仕組みは、標準では担保されません。この「全部入り」の性質が、権限の絞り込みを接続側の責任にしています。

どこに人の確認を挟むかはヒューマンインザループ(HITL)の設計そのものです。社内ルールとしての整備はAIガバナンスの文脈で、AI利用ガイドラインの作り方とあわせて決めてください。

セキュリティで実際に起きていること

MCPで新しく増えるのは、モデルの賢さの問題ではなく実行レイヤーの問題です。指摘されている代表的なものを整理します。

• 間接プロンプトインジェクション: エージェントが読んだ文書やWebページの中に指示文が仕込まれていて、それに従って意図しない操作をしてしまう
• ツール・ポイズニング: MCPサーバーが公開する機能の説明文そのものが細工されていて、エージェントを誤った使い方へ誘導する
• 権限の過剰付与: 前述の「全部入り」により、本来必要のない操作までエージェントが実行できてしまう
• 認証情報の流用: 接続に使う資格情報が、想定より広い範囲のアクセスを許してしまう

対処の考え方は共通していて、エージェントが読んだ内容を「指示」ではなく「データ」として扱う、権限を最小にする、影響範囲を事前に区切る、の3つです。これはAIエージェントを業務に入れるとき全般に当てはまる原則で、MCPに限った話ではありません。

小さく始める順序

1. 読み取り専用の1系統だけつなぐ。 最初の候補は、誤りに気づきやすく影響が小さいもの——社内wikiやドキュメント置き場です。判断基準は「AIの回答の誤りを、担当者がその場で見抜けるか」。見抜けない領域から始めない
2. 参照範囲を明示的に区切る。 「全社の共有ドライブ」ではなく「特定のフォルダ」に限定します。範囲を書けない業務は、まだつなぐ段階にありません
3. 操作の履歴が残ることを実際に確かめる。 設定した直後に自分で操作し、ログに何が記録されるかを目で見ます。「残るはず」で進めない
4. 書き込みは、承認を挟む形でだけ開ける。 更新・送信・削除は人の確認を通す設計にします。件数が増えて確認が追いつかなくなったら、処理量のほうを絞る
5. 効果は作業時間ではなく、探す手間の消滅で測る。 「資料を探す往復が何回減ったか」のほうが実態を表します。検証の設計はPoC(概念実証)の進め方が使えます

よくある失敗

• つながること自体を成果にする: 接続した数は成果ではありません。誤りを見抜ける業務で、探す手間が実際に減ったかで測ります
• 全部入りのまま本番に出す: 公開されている機能一式がそのまま渡る前提を忘れると、必要のない操作までエージェントに握らせることになります
• 読んだ内容を信じ切る: 文書やWebページの中の文字列は指示ではなくデータです。エージェントが外部の文章に従って動く設計は、それ自体が穴になります
• MCPとWebMCPを混ぜて議論する: 前者は情報システムの話、後者はWeb担当の話。同じ会議で名前だけ揃えても決まりません
• データが整理されないままつなぐ: 重複した資料や更新の止まった文書を参照させると、AIは誤った前提のまま高速に答えます。手作業なら気づけた違和感が素通りします
• 一度つないで終わりにする: 対応状況も検査項目も動き続けます。自社サイト側の状態はAIエージェント対応チェックのように記録して定点観測してください

物理機器を操作する仕様の対象範囲と制約は、Model Hardware Standard(MHS)の解説で詳しく扱っています。

まとめ

• MCPとは、AIアシスタント・AIエージェントを社内データベース・SaaS・ファイルにつなぐための共通規格。Anthropicが2024年11月25日にオープンな標準として公開した
• 価値は、組み合わせ(掛け算)の実装を、対応の数(足し算)に変えること。特定のAIベンダー専用ではない
• MCPとWebMCPは別物。MCPは「自社のAIに社内を触らせる」、WebMCPは「他社のAIに自社サイトを使わせる」
• 導入判断で先に見るのは、つながるかではなく権限の粒度と操作の履歴。接続したエージェントはサーバーが公開する機能一式を受け取る
• 新しいリスクは実行レイヤーに出る。間接プロンプトインジェクション・ツールポイズニング・権限の過剰付与が代表例
• 始め方は読み取り専用の1系統から。参照範囲を区切り、履歴が残ることを実際に確かめてから書き込みを開ける
• Anthropicは2026年8月27日、物理的な機器を対象にしたMHS(Model Hardware Standard)をリサーチプレビューとして公開した。MCPなどの標準プロトコル経由で利用できるが、対象は研究ラボ・先端製造に限定された申込制で一般提供ではない

AIエージェントが営業の実行工程まで担う流れはAgentic GTM、サイト側をエージェントから扱える状態にする話はAIエージェント対応度の実測で扱っています。