AIエージェントとは？生成AIとの違いと仕組み、MCPまで解説

社内の文書や業務システムをAIに扱わせるには、つなぎ先ごとに別々の作り込みが要ります。ChatGPT向けに作った仕組みは、そのままClaudeへ持っていけません。

このつなぎ方をそろえる規格がMCP（Model Context Protocol＝AIを外部のシステムにつなぐ共通の約束事）です。決めているのはやり取りの手順だけで、AIの賢さや安全は規格の外にあります。

この記事では、AIエージェントとの関係、MCPが決めていることと決めていないこと、2026-07-28版の変更、導入の前に確かめることをご紹介します。

1. AIエージェントとは？

AIエージェントという語の意味は、提供元によって線の引き方が違います。この章では、どれが正しいかを決めずに、提供元の公式文書に書かれている定義をそのまま並べます。

図1：同じ語でも指しているものが違う。資料でこの語に出会ったら、どの定義の話かを先に確かめる。

拡大

図1：同じ語でも指しているものが違う。資料でこの語に出会ったら、どの定義の話かを先に確かめる。

閉じる

Anthropicは「Building effective agents」の中で、AIのモデルと道具が、あらかじめコードに書かれた道筋を通る仕組みをワークフローと呼んでいます。AIのモデルが処理の進め方と道具の使い方をその場で決め、仕事のやり遂げ方も自分で決め続ける仕組みは、エージェントと呼んで分けています。両方をまとめた総称は agentic systems です。

OpenAIの手引き「A practical guide to building agents」はもっと短く、利用者に代わって仕事を自分でやり遂げる仕組みをエージェントと定義しています。

独立行政法人情報処理推進機構（IPA）の解説記事は、自分たちの定義を1つ置いています。そのうえで、OpenAI・Google・Gartner・一般社団法人AICX協会の定義を出典つきで並べています。公的機関の記事が4つの定義を並べて載せていることからも、AIエージェントという語の意味が1つに固まっていないと読めます。4社の定義の原文と、自律の範囲の線引きはAIエージェントとはで並べています。

2. AIエージェントと生成AIの違い

AIエージェントと生成AIの違いは、次にやることを誰が決めるかにあります。文章や画像を作るところで止まる仕組みと、目的を受け取って自分で手順を組む仕組みでは、人が指示する範囲が変わります。

図2：製品を選ぶときは名前ではなく、何を受け取って何を実行するかで確かめる。

拡大

図2：製品を選ぶときは名前ではなく、何を受け取って何を実行するかで確かめる。

閉じる

OpenAIの「A practical guide to building agents」は、何がエージェントに当たらないかも例を挙げて書いています。大規模言語モデル（＝大量の文章で学習させ、次に来る言葉を予測して文章を作るモデル）を組み込んだアプリケーションでも、処理の流れの実行をモデルに任せていなければ、エージェントではないという書き方です。名指しされているのは、単純なチャットボット、1往復で終わる利用、感情の分類の3つです。

生成AI・チャットボット・ワークフロー・AIエージェントの4つの語について、公式文書に書かれている範囲で、何を指すかと人が指示する範囲、道具を使うかを並べました。資料の中でこれらの語に出会ったときに、どの位置の話なのかを見分けるための表で、優劣を決めるためのものではありません。

「人が指示する範囲」と「道具を使うか」の列は、公式文書の記述から読み取って埋めたものです。提供元が4つの語をこの形で並べているわけではなく、分け方そのものが業界で1つに定まっていません。製品を選ぶときは、名前ではなく、何を受け取って何を実行するかで確かめてください。

3. AIエージェントの仕組み

OpenAIの手引き「A practical guide to building agents」は、エージェントを3つの部品に分けています。推論と判断を担うモデル、動作を起こすために使う外部の機能やAPI（＝ソフトウェアどうしが機能を呼び合うための窓口）、振る舞いを定める指示と安全のための決まりの3つです。手引きは、それぞれをModel・Tools・Instructionsと呼んでいます。

図3：規格が受け持つのは道具の口だけである。モデルの賢さも指示の書き方も、その外に置かれている。

拡大

図3：規格が受け持つのは道具の口だけである。モデルの賢さも指示の書き方も、その外に置かれている。

閉じる

Anthropicも「Building effective agents」の中で、MCPに触れています。MCPは、簡単なクライアントの実装だけで、第三者の道具が増え続けるエコシステム（＝多くの会社や開発者の製品が互いにつながって広がる全体）へつなげられる方法として挙げられています。

2つの提供元の記述を合わせると、モデルと道具と指示は別々の部品で、MCPはこのうち道具（Tools）の口をそろえるための規格だと読めます。モデルをどれだけ賢くするかも、指示をどう書くかも、MCPの規格の外に置かれています。

4. AIエージェントの種類

AIエージェントの分け方は、業界で1つに定まっていません。AnthropicとOpenAIの公式文書で確かめられた区分は、処理の道筋を誰が決めるかで分ける線引きだけでした。

図4：自律の度合いで分ける、構成で分けるといった分類は、公式の裏づけを確認できていない。

拡大

図4：自律の度合いで分ける、構成で分けるといった分類は、公式の裏づけを確認できていない。

閉じる

自律の度合いで分ける、構成で分ける、目的で分けるといった分類には、提供元の公式文書に裏づけとなる記述がありません。そこで、ワークフロー・エージェント・エージェントに当たらないものの3つの区分について、公式の説明と、公式が挙げている例を並べました。

区分ごとに向く業務や注意する点まで対応させた一次情報（＝提供元や調査した本人が出した元の情報）は、2026年9月2日の時点で見つかっていません。導入を判断する材料は、「AIエージェント導入前の検討ポイント」の章にある確認項目の表へまとめました。指示から手順を自分で組み立てると提供元が書いている製品の1つがManusです。できることと料金の仕組みはManus AIとはで扱っています。

5. MCPとは？定義と役割

MCPは、公式にはどのように定義されているのでしょうか。公式ドキュメントの入口のページ「What is the Model Context Protocol (MCP)?」によると、MCPは、AIアプリケーションを外部のシステムにつなぐためのオープンソースの標準です。同じページは、つなぐ先をデータソースと道具とワークフローの3つに分け、手元のファイルやデータベース、検索エンジンや計算の道具、専用のプロンプトを例に挙げています。

図5：規格に対応していることと、AIが賢くなることや安全になることは、別の話である。

拡大

図5：規格に対応していることと、AIが賢くなることや安全になることは、別の話である。

閉じる

仕様書（Specification）の側は、言い方を少し変えています。言語モデルを使うアプリケーションと、外部のデータや道具との間をなめらかにつなぐ、オープンなプロトコル（＝機器やソフトウェアがやり取りするときの手順の決まり）だという書き方です。公式ドキュメントが自ら使っているたとえは1つだけで、USB-Cが電子機器のつなぎ方をそろえたように、MCPはAIアプリケーションと外部のシステムのつなぎ方をそろえる、という説明です。

MCPがどこまでを決めているかは、公式の「Architecture overview」に1文で書かれています。MCPが決めているのは材料（＝AIが答えを作るときに使うデータや道具の情報）をやり取りする手順だけで、AIアプリケーションが言語モデルをどう使うか、渡された材料をどう扱うかまでは決めていません。

MCP focuses solely on the protocol for context exchange—it does not dictate how AI applications use LLMs or manage the provided context.

出典：Model Context Protocol「Architecture overview」（2026年9月2日確認）（新しいタブで開く）

MCPが最初に発表されたのは、Anthropicによる2024年11月25日の記事「Introducing the Model Context Protocol」です。この記事は、つなぎ先のデータが増えるたびに専用の作り込みが要り、つながった仕組みを広げにくいという課題を挙げています。仕様書は着想元として、開発の道具のあいだでプログラミング言語への対応の足し方をそろえたLanguage Server Protocolの名前を挙げています。

公式ブログ「MCP joins the Agentic AI Foundation」によると、MCPは2025年12月9日に、Linux Foundation傘下のAgentic AI Foundationへ寄贈されました。この団体を共同で設立したのはAnthropicとBlockとOpenAIの3社で、Google・Microsoft・AWS・Cloudflare・Bloombergが支援に名を連ねています。

MCPと同時にこの団体の創設プロジェクトになったのは、Blockのgooseと、OpenAIのAGENTS.mdです。同じ公式ブログは、MCPの意思決定の仕組みはこれまでどおりで、Linux FoundationがMCPの技術的な方向を決めることはないと書いています。

寄贈が関わってくるのは、MCPを規格として長く使ってよいかを判断するときです。1社の持ち物から離れたことは、社内の標準として置くときの判断材料になります。どれだけ使われているかは、Anthropicが2025年12月9日に寄贈を告げた発表に数字が出ています。PythonとTypeScriptのSDK（＝開発に使う部品や道具をまとめたもの）が月に9,700万回以上ダウンロードされ、稼働している公開のMCPサーバーは1万を超えたという書き方です。

6. MCPの仕組みと構成要素

MCPに登場する役は3つで、公式の「Architecture overview」は、ホストとクライアントとサーバーをそれぞれ1行で定義しています。この3つを分けておくと、MCPの説明を読むときに、誰が何を受け持っているのかを取り違えにくくなります。

図6：同じサーバーが差し出すものでも、引き金を引く相手はこのように分かれている。

拡大

図6：同じサーバーが差し出すものでも、引き金を引く相手はこのように分かれている。

閉じる

ホストは複数のクライアントを取りまとめるAIアプリケーションで、クライアントは1つのサーバーとの接続を保つ部品、サーバーは材料を差し出すプログラムです。ホストはサーバーごとに1つのクライアントを作るので、接続はサーバーの数だけ別々に保たれます。3つの役それぞれについて、公式の定義を日本語に訳したものと、受け持つことを並べました。

サーバーという言葉は、動く場所を指していません。公式は、材料を差し出すプログラムであれば、どこで動いていてもMCPサーバーと呼ぶと書いています。手元で動くサーバーは1つのクライアントだけを相手にすることが多く、離れた場所で動くサーバーは多くのクライアントを相手にすることが多い、という書き分けです。

MCPサーバーが差し出すものは、ツール、リソース、プロンプトの3つです。公式の「Understanding MCP servers」は、この3つを誰が制御するかで分けた表を載せています。サーバーが差し出すものごとに、公式の説明の訳と、誰が制御するかを並べました。

ツールを呼ぶかどうかを決めるのはモデルで、リソースを渡すかどうかを決めるのはアプリケーション、プロンプトを選ぶのは利用者です。同じサーバーが差し出すものでも、使うかどうかを決める主体は、モデル・アプリケーション・利用者の3つに分かれます。

MCPのやり取りの土台は、JSON-RPC 2.0（＝処理の名前と値を、決まった書式でやり取りするための取り決め）です。仕様は全体を2つの層に分けており、内側のデータ層が手順と機能を、外側の通信層がつなぎ方と認可（＝誰に何を許すかを決めること）を決めています。通信の方式は2つです。同じパソコンの中のプログラムどうしでやり取りするStdioと、ネットワークの先のサーバーとHTTPでやり取りするStreamable HTTPです。

仕様の現行版では、SSE（＝Server-Sent Eventsの略で、サーバーから続けてデータを送る仕組み）はStreamable HTTPの中で任意に使う仕組みで、通信の方式の名前ではありません。HTTP+SSEという方式は2025-03-26版から非推奨になり、いまは廃止予定の機能の登録簿に載っています。

よく見かける古い説明と、2026-07-28版の食い違い

仕様の版は、年月日の形で付きます。公式の「Versioning」によると、この日付は更新した日ではなく、後方互換（＝古い版に合わせて作ったものが、新しい版でもそのまま動く性質）を壊した最後の日を指します。後方互換が保たれているかぎり、内容を直しても版そのものは上がらないという決まりです。

現行の仕様は2026-07-28版で、その直前は2025-11-25版です。この2つの版のあいだで、つなぎ始めの作法と、クライアント側が差し出す機能が変わりました。

大きい変化は、プロトコルそのものが状態を持たない形、つまりステートレス（＝1つ1つの要求が、前のやり取りを覚えていなくても処理できる性質）になったことです。2026-07-28版は、やり取りの始めに置いていたinitializeの手続きを取り除き、要求のたびに版と機能を名乗る形にしました。あわせて、サーバーは自分が対応する版と機能と身元を知らせるserver/discoverを実装しなければならない、と定めています。

公式ブログ「The 2026-07-28 Specification」は、MCPが双方向で状態を持つプロトコルから、要求と応答で完結する状態を持たないプロトコルへ変わりつつあると書いています。同じブログによると、この変更は、MCPサーバーの信頼性と拡張性を高めたい開発者から特に多く寄せられた要望の1つでした。

現行版でクライアントがサーバーへ差し出す機能は、利用者へ追加の情報を尋ねるElicitationの1つだけです。さかのぼると、2025-06-18版のページには、クライアントがサーバーへ差し出す機能としてSamplingとRootsも並んでいました。Samplingはサーバーの側からクライアントの言語モデルを呼び出して処理を進める機能で、Rootsはサーバーが作業してよいファイルの範囲をクライアントに問い合わせる機能です。この2つは、Logging（＝動作の記録を送る機能）とあわせて2026-07-28版で廃止予定になりました。

古い解説をそのまま読むと、廃止予定になった機能を前提にしてしまいます。公式の「Deprecated Features」の登録簿に載っている6件について、廃止予定になった機能、廃止予定になった版、公式が示す移行先を並べました。

廃止予定は、使えなくなったという意味ではありません。仕様には残ったまま、新しく作るものは採用しないほうがよく、すでにあるものは削除できる時期より前に移行することが求められる状態です。公式は猶予を12か月以上と定めており、2026年9月2日の時点で、この方針のもとで削除された機能はまだ1つもありません。

担当者が先に決めておくのは、どの版の仕様に合わせて作るかです。外部へ委託する場合は、見積もりの時点で版を確かめておかないと、あとから作り直しになる可能性があります。

7. MCPのメリット

MCPには、誰にとってどのような利点があるのでしょうか。MCPの公式ドキュメントは、MCPの利点を、開発する人、AIアプリケーションやエージェント、使う人の3つの立場に分けて書いています。誰にとっての利点なのかを分けておくと、社内で説明するときに話がかみ合いやすくなります。

図7：誰にとっての利点なのかを分けておくと、社内で説明するときに話がかみ合いやすくなる。

拡大

図7：誰にとっての利点なのかを分けておくと、社内で説明するときに話がかみ合いやすくなる。

閉じる

• 開発する人……AIアプリケーションやエージェントを作るとき、あるいはそれにつなぐときの、開発の時間と複雑さが減る
• AIアプリケーションやエージェント……データソースと道具とアプリのエコシステムへつながり、できることが増え、使う人の体験が良くなる
• 使う人……必要なときに自分のデータを扱い、自分に代わって操作できる、より力のあるAIアプリケーションやエージェントを使える

開発する人にとって開発の時間と複雑さが減ると公式は書いていますが、工数が何割減るかという割合は、公式にも、分母と方法が書かれた第三者の調査にも見当たりませんでした。

MCPに対応している製品のうち、公式ドキュメントの入口のページが名前を挙げているのは4つです。4つの製品それぞれの提供元と、提供元が示しているページを並べました。この4つに無い製品が対応していないとは限らず、網羅を目指した一覧でもないので、実際に使う製品は提供元のページで確かめてください。

OpenAIの公式ドキュメント「MCP」は、MCPを、AIのモデルに道具と知識を足すための業界標準になりつつあるオープンなプロトコルだと書いています。業界標準になりつつある、という書き方で、業界標準として決着したとは書いていません。

Microsoft Learnの日本語ページ「.NET AI と MCP の概要」は、MCPに対応している自社の製品を3つ挙げています。Copilot Studio、Visual Studio CodeのGitHub Copilotエージェントモード、Agent Frameworkの3つです。ただしこのページは機械翻訳で、2026-07-28版で削除された機能の名前が残っているので、仕様を確かめるときは英語の原文を読んでください。

8. RAGとの違い

MCPとAIエージェントとRAG（＝Retrieval-Augmented Generationの略で、外部の文書を検索して取り込んでから答えを作る作り方）の3語は、同じ場面で出てくるうえ、どれも外部のデータの話に見えます。ただし3語は受け持つ層が違うので、並べて1つを選ぶものではありません。

図8：3つは重ねて使うもので、並べて1つを選ぶ関係にはない。

拡大

図8：3つは重ねて使うもので、並べて1つを選ぶ関係にはない。

閉じる

RAGという語の出どころは、Lewisほか12名が2020年に発表した論文「Retrieval-Augmented Generation for Knowledge-Intensive NLP Tasks」です。この論文はRAGを、学習で身につけた記憶と、外から引いてくる記憶を組み合わせて文章を作るモデルだと定義しています。

MCPはつなぎ方の取り決めで、RAGは答えの作り方、AIエージェントはその両方を使って自分で手順を組む仕組みです。MCP・RAG・AIエージェントの3語について、何を指すか、どの層の話か、他の用語との関係を並べました。

3語のどれかを名乗る製品でも、内容が同じとは限りません。製品を選ぶときは名前の一致で判断せず、何を入力として受け取り、何を実行でき、実行の前に誰の同意を取るのかを提供元に聞いてください。

9. AIエージェントでできること

MCPでつないだAIエージェントにできることは、つないだMCPサーバーがツール、リソース、プロンプトのどれを差し出すかで変わります。公式の「Understanding MCP servers」は、3つそれぞれに例を挙げています。

図9：できることの幅がどこまで広いかと、効果がどれだけ大きいかは、別の話として分ける。

拡大

図9：できることの幅がどこまで広いかと、効果がどれだけ大きいかは、別の話として分ける。

閉じる

ツールは、モデルが自分で呼び出して何かを行う機能です。公式が挙げている例は、データベースへの書き込み、外部のAPIの呼び出し、ファイルの変更、ほかの処理の起動の4つです。読む操作に加えて書き換える操作も含まれる点が、読み取りだけのリソースとの違いです。

リソースは読み取りだけの材料で、例にはファイルの内容、データベースの構造、APIの説明などが挙がっています。リソースはそれぞれ、固有のURI（＝資料の場所を示す名前）とMIMEタイプ（＝データの種類を示す表示）を持ちます。プロンプトは道具と材料の使い方をあらかじめ書いた雛形で、スラッシュコマンドやコマンドパレット、専用のボタンから呼び出す形が例に挙がっています。

Anthropicは2024年11月25日にMCPを発表した記事で、そのまま使える既製のMCPサーバーも公開しています。挙がっているのはGoogle Drive・Slack・GitHub・Git・Postgres・Puppeteerの6つです。これらを使うと、Google Driveに置いた文書やGitHubで管理するソースコード、Postgresのデータベースも、AIエージェントが扱う対象にできます。ただし、どの情報をAIに読ませてよいかを決める作業そのものは、社内の取り決めとして残ります。

10. AIエージェントの活用例

この章で示せるのは、使っている会社の名前までです。各社がMCPで何を自動化したかは、公表された一次情報には見つかりませんでした。MCPを早い時期に採り入れた会社は、Anthropicが2024年11月25日にMCPを発表した記事で名前を挙げています。挙がっているのはBlock・Apollo・Zed・Replit・Codeium・Sourcegraphの6社です。これは早い時期の採用先の一覧で、業種ごとの導入の広がりを示す一覧ではありません。

図10：分母を取り違えると、日本企業全体の話や開発者全体の話に読めてしまう。

拡大

図10：分母を取り違えると、日本企業全体の話や開発者全体の話に読めてしまう。

閉じる

日本の企業がどれだけ生成AIを業務で使っているかは、総務省の「令和8年版 情報通信白書」に数字があります。2026年1月から2月に行ったインターネット調査で、自社の何らかの業務で生成AIを利用していると答えた割合は、日本で86.4%でした。日本の有効回答は515件で、回答者は、従業員10名以上かつ2025年までにデジタル化の取り組みを始めた企業に勤める、管理職以上にあたる役職者です。

情報通信白書は業務の類型ごとの活用にも触れており、資料やレポートの作成補助が約7割、次いで営業・販売が約6割、社内ヘルプデスクが約5割です。この3つの値は、白書が概数で書いているものです。

開発の現場に近い数字としては、Stack Overflowが2025年5月29日から6月23日に行った開発者調査「Developer Survey 2025」があります。用途の一覧でMCPサーバーを挙げた割合は34.4%でしたが、分母はこの設問に答えた5,797人であり、調査全体の49,009人ではありません。Stack Overflowは自社のチャネルで回答者を募っており、開発者全体を代表するとは書いていません。

業種ごとの導入事例と、効果を数字で示した事例は、分母と方法が書かれた形では公表されていません。効果を社内で説明するときは、他社の数字を借りず、自社で試した業務の前後を比べてください。

11. AIエージェント導入前の検討ポイント

MCPを入れる前に確かめることは、仕様の記述から作れます。仕様は安全と信用の原則を3つ置いており、そのうち2つが利用者の同意とデータの扱いに関するものです。この2つの原則を確かめずに製品の選定だけを進めると、MCPに対応していれば安全だという誤解が社内に残る場合があります。

図11：程度で答える項目は混ぜていない。金額の相場は測っていないので、欄そのものを置いていない。

拡大

図11：程度で答える項目は混ぜていない。金額の相場は測っていないので、欄そのものを置いていない。

閉じる

公式の「Security Best Practices」は、手元のMCPサーバーを1回の操作で設定できるクライアントなら、命令を実行する前に適切な同意の仕組みを用意しなければならないと書いています。同意の画面に出すものとして公式が挙げるのは、実行される命令の全文、危険な操作である旨、明示の承認、取り消せることの4つです。認証のためのトークン（＝本人であることや権限を示すための文字列）については、OAuth（＝ほかのサービスへ権限を渡すための仕組み）を使って取ることを公式が勧めています。

はいかいいえで答えられる確認項目

公式の記述と、分母の書かれた調査の報告をもとに、はいかいいえで答えられる確認項目を6つ並べました。確認項目ごとに、満たした状態と確認する場所、満たしていないと何が起きるかを書いています。

公式が求めていることと、実際に出回っている作りには差があります。ここで挙げる論文はどれも、査読の前の論文が公開される場であるarXivに載ったものです。MCPアプリを調べた論文（arXiv:2607.25635、2026年7月公開）は、GitHubから集めたMCPアプリ1,723件を調べました。著者らの報告では、ツールの実行の前に人の承認を挟んでいたアプリは、1,723件のうち37.2%でした。

認証の安全性を調べた論文（arXiv:2605.22333、2026年5月公開）は、稼働している離れた場所のMCPサーバー7,973件を調べています。著者らの報告では、そのうち40.55%が認証なしでツールを差し出していました。OpenAIも公式ドキュメント「MCP」で、内容を知って信用できる場合を除き、独自のMCPサーバーへはつながないよう勧めています。つなぐ先のサーバーは、提供元と用途を確かめてから選んでください。

12. AIエージェントを活用する際の課題

MCPを使うときに仕様が特に注意を求めているのは、ツールの扱いです。仕様はツールを任意のコードの実行にあたるものとし、相応の注意を払って扱わなければならないと書いています。

図12：規格に対応していることと、安全に運べることは、はっきり別の話として分けておく。

拡大

図12：規格に対応していることと、安全に運べることは、はっきり別の話として分けておく。

閉じる

仕様の「Security and Trust & Safety」の節は、ツールの説明文も信用しないよう求めています。信用できるサーバーから得たものでない限り、注釈（annotations）を含むツールの動作の説明は、信用できないものとして扱う、という書き方です。

descriptions of tool behavior such as annotations should be considered untrusted, unless obtained from a trusted server

出典：Model Context Protocol「Specification」Security and Trust & Safety（2026年9月2日確認）（新しいタブで開く）

同じ節で仕様は、MCPそのものはこれらの安全の原則をプロトコルの水準で強制できない、と書いています。原則を守る責任は、ホストを作る側と導入する側に残ります。MCPに対応していることと安全に運用できることは、別の話として分けておいてください。

公式の「Security Best Practices」は、攻撃の型を9つ挙げています。このうち担当者に関係が深い3つについて、攻撃の型ごとに何が起きるかと、公式が求めていることを並べました。残りの6つは、サーバーやクライアントを作る側の実装に関わる型です。

OpenAIは公式ドキュメント「MCP」で、プロンプトインジェクションという攻撃を説明しています。攻撃者がウェブページのような、AIのモデルが読みそうな内容へ悪意ある指示を埋め込み、ChatGPTの本来の振る舞いを上書きさせようとする攻撃です。ツールの説明文を信用しないという仕様の原則も、説明文にこうした指示が埋め込まれる場合に備えたものと読めます。

直感と逆になる報告もあります。2025年8月に公開された論文「MCPTox」（arXiv:2508.14925）は、実在するMCPサーバー45件のツール353件をもとに1,312件の攻撃のテストを作り、20種のエージェントの設定で評価しました。1,312件のテストのうち、o1-miniがツールの説明文に仕込まれた指示に従った割合（攻撃成功率）は72.8%です。この値は1つのモデルの数値で、全モデルの平均ではありません。著者らは、能力の高いモデルほど指示に従う力を突かれ、ツールの説明文に仕込まれた指示にかえって従いやすいことが多いと書いています。

危険なサーバーの割合を読むときに注意が要ることも、別の論文が示しています。2026年7月に公開された論文「Rethinking MCP Security」（arXiv:2607.11086）は、64,611件のサーバーを対象に、既存の検査が96.89%を危険と示していると報告しています。ただし、抜き出した警告を手作業で確かめると、本当に危険だったもの（真陽性）は抜き出した警告の半分に届かず、検査どうしの結果も食い違っていました。MCPサーバーの何%が危険という数字を見かけたら、どの検査で、何件のうち、いつ測ったものかを確かめてください。

企業での導入に何が残るのかを、実務者への聞き取りで調べた論文（arXiv:2606.09182、2026年6月公開）もあります。聞き取りの方法は半構造化インタビュー（＝質問の骨組みだけを決め、答えに応じて聞き足す聞き取り）で、対象はインターネット業界と金融業界の8社の実務者20名です。報告では、エコシステムの分断、部品どうしの調整の難しさ、分散した状態の管理と障害の切り分けが、未解決の問題として挙がっています。著者ら自身も、この結果を初期の段階の実証と位置づけています。

13. AI検索からの流入を狙うLLMO対策との関係

マーケティングの担当者から見ると、MCPはAIへ情報を渡す側の規格です。担当者に関わってくるのは、その逆の、AIに読まれる側としての備えです。AIが外部のシステムから材料を取り込んで答えを組み立てる流れが広がるほど、自社のページがその材料に入るかどうかが問われると考えられます。

図13：社内への導入とサイト側の備えを、別々の計画に分けずに済ませる。

拡大

図13：社内への導入とサイト側の備えを、別々の計画に分けずに済ませる。

閉じる

ただし、MCPの広がりと、自社サイトが引用される回数の関係を確かめた調査は、分母と方法の書かれたものが公開されていません。

読まれる側としての備えの内容は、これまでSEOで言われてきたことと大きくは変わらないと考えられます。ページの構造を機械が読み取れる形にしておくこと、誰がいつ何を書いたのかを示しておくこと、自社でしか出せない事実を持っておくことの3つです。進め方はAIO対策の進め方で扱っています。技術面の手順はAI検索のためのテクニカルSEO、内容の面はコンテンツSEOとE-E-A-Tにまとめました。

社内のAIへ材料を渡す話と、自社サイトがAIに読まれる話は、扱う場所が違います。2つを同じ流れの表と裏として見ておくと、社内への導入とサイト側の備えを別々の計画に分けずに済むと考えられます。

まとめ

MCPが決めているのは、材料をやり取りする手順だけです。言語モデルの使い方も、受け取った材料の扱いも、規格の外に置かれています。この線引きが、MCPを万能の解決策として読まないための支えになると考えられます。

いま参照する仕様の版は2026-07-28版で、プロトコルは状態を持たない形へ変わり、SamplingとRootsとLoggingは廃止予定になりました。あわせて、server/discoverの実装がサーバーに求められています。古い解説を読むときは、その解説がどの版の話なのかを先に確かめておくほうが確かだと考えられます。

MCPを入れる前に確かめるのは、実行の前の同意の取り方と、記録の残し方です。MCPの仕様は安全の原則を強制できないと自ら書いており、原則を守る作り込みは導入する側に残ります。自社でどこから手を付けるかで迷う場合は、お問い合わせのフォームからご相談ください。

よくある質問

この記事の参考文献

この記事の定義と数字は、次のページの原文から引いています。仕様は版で変わるので、確認日より後に読む場合は、原文を見直すほうが確かです。