エージェントは「読む」から「行動する」側に移っています。MCP（Model Context Protocol）のエコシステムで、外部の状態を書き換えるツールの割合は16か月で27%から65%に増えた、と今回の論文は数えています。行動する道具を持ったエージェントは、どこから攻められるのか。
紹介するのは、MCP・Skills・ツール呼び出しの攻撃面を整理したサーベイ論文です。題名にWeb3と入っていて、たしかに後半はブロックチェーン上でエージェントが取引する話が中心です。ただ、前半の**攻撃面の分類（9クラス）**と、防御がどこまで効くかの数字は、Web3と無関係に読めます。この記事はそこを中心に読みます。
| 項目 | 内容 |
|---|---|
| 題名 | When Agents Act on Web3: An Attack-Surface Survey of MCP, Skills, and Tool Calling |
| 著者 / 所属 | Rabimba Karanjai ほか（University of Houston、PayPal AI Labs、Kent State University） |
| 公開 | 2026-08-18（arXiv 2608.17275、cs.CR） |
| リンク | arXiv／コード公開なし（サーベイ） |
3行で言うと
- MCPではツールの説明文（スキーマ）がそのままモデルの信頼済みコンテキストになる。ここが最大の攻撃面で、論文はこれを「信頼境界はスキーマにある」と言い切っています
- 既知の攻撃を「どこから入るか（4面）× いつ効くか（3段階）」で9クラスに整理し、各クラスに確認済みのCVEか事件を1つずつ紐づけています
- 防御は改善しているが不十分。ベンチマーク上、既存の防御は平均で攻撃の3割未満しか止められず、モデル自身が拒否するのは3%未満
この論文が答えようとしている問い
「エージェントがツールを通じて行動するとき、攻撃はどこから入り、いつ効き、何が被害を大きくするのか」。
MCPのセキュリティ研究は1年ほどで急に増えましたが、個別の脆弱性報告・ベンチマーク論文・ベンダー分析がそれぞれ別の語彙で別の部位を論じていて、横に並べて読めない状態でした。論文はまずそれを1枚の分類表に載せ、その上でWeb3固有の「被害を増幅する4つの性質」を重ねています。
整理の軸: どこから入るか × いつ効くか
分類の軸は2本で、どちらも既存のベンチマーク論文から借りています。
| 軸 | 区分 | 出典 |
|---|---|---|
| 面（どこから入るか） | ユーザー／クライアント・ホスト／トランスポート／サーバー | MCPSecBench |
| 段階（いつ効くか） | タスク計画／ツール実行／応答処理 | MSB |
これに「プロトコル自体の弱点（P）か、個々の実装の弱点（I）か」を重ねています。Pは準拠する実装すべてで再発し、Iは1つのコードベースを直せば消える。対策の性質が違うので分けている、という説明です。
MCPの信頼境界を論文の図をもとに描き直すと、こうなります。信頼していない内容がモデルの文脈に入る入口は2つあります。
①がツール汚染、②が間接プロンプトインジェクションの入口です。どちらも「モデルは、正直なサーバーが書いた説明文と攻撃者が書いた説明文を区別する手段を持っていない」という一点に帰着します。
9つの攻撃クラス
論文の表1を、Web3固有の列を落として日本語にしたものです。代表例は論文が「識別子か公開された事件があるもの」に限って載せています。
| # | 攻撃クラス | 面 | 段階 | 層 | 代表例（論文の記載） |
|---|---|---|---|---|---|
| 1 | ツール汚染（説明文への命令埋め込み） | サーバー | 計画 | P | CVE-2025-54136（MCPoison）、MCPTox で攻撃成功率 72.8% |
| 2 | 間接プロンプトインジェクション | クライアント・ホスト | 応答処理 | P | CVE-2025-54135（CurXecute） |
| 3 | コマンド／STDIO インジェクション | トランスポート | 実行 | I | CVE-2025-6514（mcp-remote、CVSS 9.6） |
| 4 | 参照実装の欠陥による RCE | サーバー | 実行 | I | CVE-2025-68143 / 68144（mcp-server-git） |
| 5 | サンドボックス／パス封じ込めの突破 | サーバー | 実行 | I | CVE-2025-53109 / 53110（filesystem サーバー） |
| 6 | 認証・認可の欠落 | クライアント・ホスト | 実行 | I | CVE-2025-49596（MCP Inspector、CVSS 9.4） |
| 7 | サプライチェーン（悪性サーバー／Skill） | サーバー | 計画 | I | 初の悪性MCPサーバー postmark-mcp、悪性Skill 341→824件 |
| 8 | 選好操作（どのツールを選ぶかを誘導） | サーバー | 計画 | P | MPMA |
| 9 | なりすまし（エージェントの身元） | トランスポート | 計画 | P | A2A Agent Card の改ざん・再送 |
読み方として効いたのは次の3点です。
- Pの4つ（1・2・8・9）は、実装をどう直しても消えない。 説明文と出力を信頼済み文脈として扱う設計に由来するので、対策は「モデルに耐えさせる」ではなく「モデルに届く前に検査する」側に寄ります
- Iの5つ（3〜7）は、普通のアプリケーションセキュリティ。 論文が引く業界調査では、2,614のMCP実装のうち**パストラバーサル 82%・コードインジェクション 67%・コマンドインジェクション 34%**に弱点があったとされています。MCPが新しいのではなく、新しい皮をかぶった古い穴です
- 7（サプライチェーン）は「入れる」という行為そのものが判断。 論文は「plugin-as-trust-decision（プラグイン導入をセキュリティ判断として扱っていない）」をアンチパターンとして挙げています。初の悪性MCPサーバーは、正規のメール連携サーバーの偽物で、送信メールを全部攻撃者にBCCする1行が足されていて、削除まで約1,500回ダウンロードされたそうです
主要な数字
| 数字 | 何の値か | 出典（論文内） |
|---|---|---|
| 27% → 65% | 外部の状態を書き換える「行動ツール」の利用比率。ツール総数は約5,000 → 177,436 | 1章（Stein 2026 の引用） |
| 72.8% | ツール汚染の攻撃成功率（MCPTox、主要モデルに対して） | 4.2節 |
| < 3% | 安全性チューニング済みモデルでも、ツール汚染を拒否できた割合 | 4.2節・6.3節 |
| < 30% | 既存の防御が止められた攻撃の割合（MCPSecBench、平均） | 6.3節 |
| 82% / 67% / 34% | 2,614実装中のパストラバーサル／コードインジェクション／コマンドインジェクションの弱点保有率 | 4.2節（Endor Labs の引用） |
| 341 → 824 | 1つのSkillマーケットプレイス（1万700件超）で見つかった悪性Skillの数の推移 | 3.3節・4.2節 |
| 428 中 26 | エージェントとモデルの間に入る中継（ルーター）のうち、悪性のツール呼び出しを注入するもの | 5.2節 |
数字はいずれも論文が他の研究・調査から引いているもので、この論文自身の実験値ではありません。最後の行の「約50万ドルの被害」については論文自身が「独立に確認されていない」と断っています。
Web3の話は、置き換えて読める
後半の主張は「ブロックチェーンの実行層が持つ4つの性質が、回復可能な失敗を取り返しのつかない損失に変える」というものです。
| 増幅器 | Web3での意味 | 業務システムに置き換えると |
|---|---|---|
| 不可逆性 | 確定した取引は取り消せない | 送信済みメール、確定した決済、外部APIへの書き込み |
| 署名権限 | 署名1回がそのまま被害 | 書き込み権限のあるAPIトークン、共有カレンダー・ストレージの編集権 |
| 継続的な自律性 | 人の確認なしに回り続ける | 定期実行のエージェント、CIから動くエージェント |
| 呼び出しの連鎖 | 1つ1つは許可された操作の合成が攻撃になる | 「読む → 整形する → 送る」がそれぞれ許可されていれば、漏洩の経路になる |
置き換えて読むと、Web3限定の話ではなくなります。特に4つ目は重要で、論文は現在広く使われている防御（ゲートウェイ、ポリシーチェック）はすべて呼び出し単位で判定していて、連鎖を見ているものは無いと指摘しています。1回の呼び出しだけを見て許可・拒否する仕組みでは、許可された操作の組み合わせで起きる被害は原理的に見えません。
この整理から言えること
論文の主張を一般論として要約すると、次の3点になります。
- ツールの導入は信頼の判断である。 ツール呼び出し・MCP・Skillは、層が1つ増えるごとに信頼する相手（関数の作者、サーバーの運用者、パッケージの公開者）が1者ずつ増える。論文はこれを「プラグイン導入をセキュリティ判断として扱わないこと」がサプライチェーン攻撃を成立させる、と表現しています
- ツールの説明文と出力は、モデルにとって外部入力である。 プロトコル由来の4クラス（1・2・8・9）は実装を直しても消えず、モデル自身の拒否率も3%未満なので、防御は「モデルに届く前に検査する」側に置くしかない、というのが論文の立場です
- 呼び出し単位の防御には構造的な穴がある。 1回ずつ許可された操作の連鎖が被害になる場合、現在の防御はそれを見ていない。論文はこれを未解決の研究課題として挙げています
限界と注意
- 重大度は定性評価。 リスク表の H / M は著者の判断で、測定値ではありません。CVSS はベンダー報告値です
- 数字は二次引用。 上の表の数字はすべて他論文・業界調査の値で、この論文が再測定したものではありません。特に「3割未満」「3%未満」は特定ベンチマーク上の値で、あなたの構成でそうなるとは限りません
- Web3中心。 後半3分の1はブロックチェーン固有の話（鍵管理、EIP-7702、MPC、TEE）で、Web3を扱わないなら飛ばして問題ありません
- 足が速い。 論文自身が「この分野はサーベイより速く動く」と書いています。分類の骨（2軸 × P/I）は残るとして、代表例の行は数か月で入れ替わるはずです
参考
- 論文: When Agents Act on Web3: An Attack-Surface Survey of MCP, Skills, and Tool Calling（arXiv 2608.17275）
- 分類軸の出典: MCPSecBench（面）、MSB（段階）。攻撃成功率の出典: MCPTox
