生成AIのテナント制御とシャドーMCP対策 | AIを"止めずに"、情報を守る

生成AIを"止めずに"活用するためのテナント制御のアプローチと、シャドーMCP対策について、2026年7月24日 Security Meetup - CyberriskersでLTしました。
AI Security / Shadow AI / Shadow MCP / Tenant Restriction / Local MCP Server Security

Transcript

1. 2026年7月24日 | Security Meetup - Cyberriskers 生成AIのテナント制御とシャドー MCP対策 AIを"止めずに"、情報を守る 株式会社メルカリ Engineering Manager of Enterprise Security Yu Sasaki 1
2. こんな生成 AI関連の”ヒヤリハット ”、ありませんか？ 2 1 社外秘 3 AI 外部 $ npx unknown-mcp ! 個人のAIに社内コードを貼付 個人アカウントでコネクタ連携 出所不明のMCPを導入 機密情報が外部モデルへ 会社データが外部テナントへ 認証トークンが窃取される 便利さの裏で、大切な情報が漏れるリスク。利用を "止めずに" 守るには？ 2
3. 自己紹介 チームミッションを一言でいうと セキュリティを “ブレーキ ” ではなく “ガード レール” に Empower teams to move fast and securely by providing guardrails, automated controls and guidance that maximize productivity and minimize security friction. Yu Sasaki (@yu) 2023.04 2024.01 2026.03 Security Management Security Engineer Engineering Manager リスクアセスメント・セキュリティ ポリシー実装・運用自動化に従事 Enterprise Security teamを統括 ポリシー策定を推進 3
4. 本日の流れ 1 共通の守り 業務端末で生成AI含む業務SaaSを安全に使う 2 AI固有の挑戦の一つ シャドーMCPサーバーへの対応ー検知・予防・是正プロセス 4
5. そもそもセキュリティとは CIAを守ること。本日の前半は 機密性(C) 、後半のMCP管理で 完全性(I)・可用性(A) にも触れる。 機密性 / Confidentiality 完全性 / Integrity 可用性 / Availability 適切なアクセス権管理とデー タコントロール データが不正に書き換えられ ないこと サイバー攻撃等でシステムが 止まらないこと C I A 5
6. AI活用における機密性観点のリスク経路 当該リスク経路は大きく 4つに分類できる。 6
7. 経路①・③・④：認証とコネクタ制御 ①は入口の認証、③④はコネクタの選択と宛先。②は次のスライドで扱う。 1 管理外端末 → 会社テナント 対策：デバイス認証を主軸に。会社が 管理する端末環境だけを通す。デバイ ス管理に権限が及ばない環境は（社外/ パートナー）、ネットワークやMFAで“業 務環境であること”を担保。 3 会社テナント → 未承認 Remote MCPサーバー 対策：テナント側の管理者設定で ユーザーによる追加を制限し、審 査を通したサーバーのみ許可リス トに登録する。 4 承認済みコネクタ → 私用 テナント 対策：会社が管理する custom OAuth client を利用し、付与ス コープと接続先テナントを会社側で 固定する（例：Claude Enterprise） Allowlist 7
8. 経路②：会社端末 → 会社外アカウントを塞ぐ アプリ形態で打ち手が変わる Desktop アプリ • MDMで制御 ◦ macOS: 構成プロファイル ◦ Windows: レジストリキー ◦ ChromeOS: Enterprise Policy // header injection ( 例: Slack) Web アプリ • Header Injection: SaaS固有のカスタム ヘッダーに契約 Org/tenant IDを注入(※) • URLベースの制御 : 会社用のサブドメイン以 外をブロック ※インジェクション位置は環境次第：ネットワーク上の ProxyやSASE、またはChromeブラウザ v152からはChrome Enterprise Premium のポリシーでも設定可能。弊社一部環境では内製 Chrome拡張機能を強制配布することで実現。 8
9. これで塞げるのは "境界"まで 経路を絞っても、端末内に残るデータと端末内で動く AIクライアントの実行権限は残る。 1 端末にデータが蓄積されるリスク 経路を絞っても、ダウンロード・キャッシュ・ローカル成果 物は溜まる。 2 多層防御（ Defense in Depth）の継続 MDM（構成）× EDR（検知）× DLP（持ち出し）。マルウェ ア感染・設定不備・紛失 /盗難は、ひとつの統制に頼らず 複数の手法組み合わせて統制。 3 端末の中の AI固有の"新しい経路 " AIクライアントは設定ファイル 1行で外部への Tool接続を 増やせる → 後半のテーマ。 9
10. シャドー MCPへのガードレール 「安全な活用」へ誘うプロセス @khinezar @Karunia @hi120ki 10
11. AI固有のセキュリティへの挑戦：シャドー MCPサーバー MCP（Model Context Protocol）サーバーとは、LLMアプリに対して、Context（データ）や Tool（実行権限）を動的に提供する標準インターフェース。 機密性 / Confidentiality 完全性 / Integrity 可用性 / Availability ローカルストレージ上のデー タや認証トークンの 窃取 コネクタ先のデータが不正に 書き換えられる コマンド実行によるローカル、 リモートシステム環境の破壊 C I A 11
12. 課題：シャドー MCP（未承認 MCP）の拡大 1 導入コストがほぼゼロで容易 2 可視性に乏しい 3 レビュープロセスがない 12
13. 承認運用：検知・予防・是正 端末に導入しているセキュリティツールにてローカル MCPサーバーの情報を定期的に収集。内製ツールで検 知運用を構築。 Endpoint Posture Management Agent osquery Fetch PUT 内製プログラム① • JSONパース • 名寄せ • Secretフィルタ Fetch Check Send DM 内製プログラム② • 承認済みMCP一覧と突合 • 従業員へ通知 Detective 検知 Preventive 予防 Corrective 是正 端末のMCP設定を収集・蓄積・可視化 承認済みMCPのみ利用可(申請→審査→許可） 未承認はSlack通知→審査 or 削除 13
14. 検知の中身：ローカル MCPサーバーのインベントリ 端末ごとに、どの MCPが、どのクライアント（ VS Code, Cursor, Claudeなど）の設定ファイルに入っている か、そして承認済みか否かを可視化。 14
15. osqueryベース検知の射程 現時点の可視性と今後押さえる領域。 1 カバレッジ リスクの入り口になりやすいローカル設定から着手。 2 粒度 どのMCPがどのクライアントに入っているかは見える。実行時の挙動はこれから。 3 次の一手 実行時のリスクの高いコマンドやアクセス先データに応じた技術的統制の導入。 15
16. 複数アプローチを掛け合わせて総合的にセキュリティ向上 Security Training & Awareness People: 止めずに”安全に” をガイド Trust & Safety Security Champions Process: 申請→審査→許可、是正 People 人 Technology: 技術的統制の実装 Culture 文化 Shift-left Process プロセス SOAR 禁止するのではなく、安全に使う環境整備 Technology 技術 CI/CD Security Automation DevSecOps Threat Modelling SAST/SCA/ DAST Automation セキュリティは事業のエネイブラーの一員 16
17. メルカリ AI セキュリティの歩み メルカリ AI セキュリティ 検索 講演内容の一部は、発信済みのBlogなどで詳細をご覧いただけます 17
18. We're hiring! 1 ポリシーを支援する技術的統制を複数のツールを 組み合わせ内製 2 ガードレールと自動化で、社員が安全に・速く働け る基盤づくり 3 今日の話を “おもしろい ”と思ったら、是非お気軽 にお声がけください https://careers.mercari.com/en/jobs/engineering/security-engineering/ 18