要点

対象：AIにほかのツールをつなごうとしている職場

  1. 仕様は呼び出す前の同意を定めている
  2. 書き込むツールも一覧に並ぶ
  3. 書き込むツールは「常に許可」にしない

MCP（Model Context Protocol）は、ClaudeやChatGPTなどのAIアプリを、ほかのツールやデータにつなぐ共通の規格です。公式サイトは、この規格をAIアプリにとってのUSB-Cの端子にたとえています。1

この記事の目次（6節）
  1. アプリとサーバーの役割
  2. アプリがツールの一覧を問い合わせる
  3. ツールを呼び出すまでの流れ
  4. ローカルとリモートの2つのつなぎ方
  5. よくある誤解
  6. 仕事で使うときに気をつけること

Anthropicが2024年11月に公開しました。それまでは、データの置き場所ごとに、つなぎ方を1つずつ作る必要がありました。2

この規格でつないでも、AIはツールを直接動かしません。Claudeは1つに見えますが、中では、文章を考える部分（AI）と、画面を持って外とやり取りする部分（アプリ）が分かれています。

使うツールを選ぶのはAIで、サーバーを呼び出すのはアプリです。5 つなぐ前には、サーバーに与える権限と、使う前の承認の設定を確かめてください。

HOW AN APP CALLS A TOOL AI AIアプリ MCPサーバー 選ぶ・文章を作る 呼び出す・許可を求める ツールを持つ 01 02 03 04 一覧を問い合わせる AIが選ぶ サーバーが結果を返す 人が承認し、アプリが呼び出す アプリがサーバーに問い合わせる。名前・説明・値の形式が返る AIが一覧と利用者の依頼を読み、使うツールと渡す値を決める 利用者の同意を得てから、アプリがサーバーを呼び出す サーバーがファイルや外のサービスを動かし、アプリが結果をAIに戻す 会話の履歴はアプリが持つ サーバーに渡すのは、呼び出しの値など必要な情報
MCPでAIがほかのツールを使うときの流れです。アプリがサーバーにツールの一覧を問い合わせ、AIが使うツールと渡す値を選びます。利用者が承認すると、アプリがサーバーを呼び出し、結果をAIに戻します。仕様の原則では、会話の履歴はアプリが持ち、サーバーには呼び出しの値など必要な情報だけを渡します。

アプリとサーバーの役割

アプリとサーバーは、決まった形式のメッセージをやり取りします。仕様（2026年7月28日版）は、2つの役割を次のように分けています。34

役割何をするか
AIアプリ会話の履歴を持つ・AIとやり取りする・利用者に許可を求める
サーバーツールや資料を用意し、呼び出されたら動く

Claudeの画面では、サーバーは「コネクタ」として並びます。7

アプリがツールの一覧を問い合わせる

一覧には、ツールごとの名前・何をするかの説明・受け取る値の形式が並びます。5

ファイルを読み書きするサーバーで試した結果

2026年10月14日に、このサイトで試しました。架空の見積書の控えを1つ置いたフォルダーだけ読み書きを許可し、規格の開発元が公開しているサーバー（Filesystem MCP Server）を動かしました。8

一覧を問い合わせると、14個のツールが返ってきました。

ツールの種類数例
読み取り専用10ファイルを読む・フォルダーの中身を並べる・ファイルを探す
書き込む・移動する4ファイルを書く・書き換える・フォルダーを作る・移動する

どのツールにも、読み取り専用かどうかを示す印が付いていました。

許可していないフォルダーにあるファイルを読ませると、サーバーは英語のエラー（Access denied）を返して断りました。

ツールを呼び出すまでの流れ

AIは、ツールの一覧と利用者の依頼を読み、使うツールと渡す値を決めます。利用者が承認すると、アプリがその内容でサーバーを呼び出し、返ってきた結果をAIに戻します。5

AIは結果を読んで、答えの文章を作ります。文章を作る仕組みは、ふだんのチャットと同じです（生成AIが文章を作る仕組み）。

呼び出しの前に利用者の承認が入る

ツールを呼び出す前に、アプリは利用者の同意をはっきり得なければならない、と仕様は定めています。3 Claudeでは、ツールの承認を求める画面が出ます。

ただし、「常に許可」にしたツールは確認なしで使われます。Claudeの「リサーチ」を使っているあいだも、承認なしでツールが呼ばれることがあります。7

サーバーに渡す情報

仕様の原則では、会話の履歴はアプリが持ち、サーバーにはツールに渡す値など、必要な情報だけを渡します。4

ツールに渡す値は、送る前に利用者に見せるよう、仕様はアプリに勧めています。5

ローカルとリモートの2つのつなぎ方

仕様が定めるつなぎ方は2つです。ローカルは、アプリが同じパソコンでサーバーを起動してつなぐ方式です。リモートは、離れたサーバーにHTTPでメッセージを送る方式です。6

Claudeのカスタムコネクタは、インターネット上のリモートのサーバーにつなぎます。接続は利用者の端末からではなく、Anthropicのサーバーから行われます。社内のネットワークの中だけにあるサーバーには、そのままではつながりません。7

よくある誤解

「AIが自分でサービスにサインインしている」

サインインは、ふつうは利用者本人が行います。つなぐ設定のときに、つなぐ先のサービスの画面でサインインし、アクセスを許可します。Claudeはパスワードを見ずに、その人に許された範囲で動きます。7

TeamとEnterpriseのプランでは、オーナーが全員で使う1つのキーを登録することもできます。その場合は、誰が使っても、Claudeはそのキーで使える範囲で動きます。7

「標準の規格だから安全」

仕様には、同意の取り方などの決まりがあります。ただ、決まりを守るかどうかはアプリ次第で、規格の側に強制する仕組みはありません。3

2025年には、mcp-remoteというソフトでの任意コード実行など、深刻な脆弱性が複数見つかりました。9

「ツールは説明どおりに動く」

「読み取り専用」などの印は、サーバーが自分で付けたものです。そのため仕様は、信頼できるサーバーから届いた印でなければ当てにしないよう、アプリに定めています。5

悪意のあるサーバーは、Claudeに意図しない操作をさせる隠れた指示を含む可能性があります。サーバーの開発者が、予期せずツールの動きを変えることもあります。7

隠れた指示を見つける方法は、日本語の隠れた指示を検査するツールを試した記事で試しています。

仕事で使うときに気をつけること

確かめることどこでなぜ
誰が作ったサーバーかコネクタを追加する前Anthropicが検証していないサーバーにもつなげる
求められる権限サインインの画面不要に見える権限を求められたら、つながない
書き込むツールの許可承認の画面と「検索とツール」メニュー「常に許可」は信頼できるものだけにする
「リサーチ」で使うか会話を始める前承認なしでツールが呼ばれることがある

この表は、Claudeのヘルプセンターの注意書きをもとにしています。7

会計ソフトなど、データを書き換えられるサービスもつなげます。その場合は、使わないツールを無効にしておくのが安全です（freeeの会計をAIにつなぐ前の設定）。社内のデータベースは、読み取り専用の設定だけでは足りない理由も参考になります。

呼び出しの前に承認が入る仕組みでも、「常に許可」とリサーチの2つの場面では外れます。だから、つないで大丈夫かは、AIの賢さより、サーバーに与える権限と「常に許可」の設定で決まると考えています。

まずは、Claudeにつないでいるサーバーのツールの一覧を開き、書き込むツールが「常に許可」になっていないかを見てください。

出典

  1. Model Context Protocol「What is the Model Context Protocol (MCP)?」（参照 2026-10-14）
  2. Anthropic「Introducing the Model Context Protocol」（2024年11月25日）（参照 2026-10-14）
  3. Model Context Protocol「Specification」（2026-07-28版）（参照 2026-10-14）
  4. Model Context Protocol「Architecture」（2026-07-28版）（参照 2026-10-14）
  5. Model Context Protocol「Tools」（2026-07-28版）（参照 2026-10-14）
  6. Model Context Protocol「Transports」（2026-07-28版）（参照 2026-10-14）
  7. Anthropic ヘルプセンター「リモートMCPを使用したカスタムコネクタを始める」（参照 2026-10-14）
  8. modelcontextprotocol/servers「Filesystem MCP Server」（GitHub）（参照 2026-10-14）
  9. IPA「AIセキュリティ短信 2025年12月号」（2026年4月2日 公開版）（参照 2026-10-14）