/ 概要
インストールする MCP サーバーはどれも、目に見えないサプライチェーンを抱えています。依存する npm や PyPI のパッケージ、取得元のレジストリ、そして土台となる公式 SDK です。
ほとんどのチームはそのどれも監査していません。2026 年、そのすき間は現実のインシデントになりました。
- postmark-mcp パッケージが 300 以上の組織のメールをひそかに BCC していた
- Smithery レジストリの侵害で、ひとつのパストラバーサルから 3,243 のホスト型 MCP アプリの認証情報が漏れた
- 公式 MCP SDK の設計上の欠陥により、STDIO トランスポート経由でのコマンド実行が可能だった（ダウンロード数 1.5 億）
OWASP はいまや、ツールポイズニングやプロンプトインジェクションとは別に、サプライチェーンを独立した項目 MCP04 として挙げています。
この講演では、パッケージ、レジストリ、SDK の 3 層にわたる MCP サプライチェーンの攻撃面を整理し、それぞれをどう監査するかを示します。
SBOM ツールが捉えられるもの、MCP に対しては足りないところ、そして本番で現実的な防御スタックとは何かを扱います。
MCP サーバーを信頼する前に、どう監査すればよいかがわかるようになります。