ゼロトラスト

MCP Gatewayを置くだけではAIエージェントを守れない｜認証・権限・停止の100点監査

2026年7月14日9分で読める

QUICK CHECK

本文を読みながら、自社で進めるべきか、相談前に何を整理するかを確認できます。

5分で自社の状況を診断する

GXO COLUMN

サイバーセキュリティ

結論：Gatewayは入口を集めるが、危険な権限を安全には変えない

Citrixは2026年7月9日付の発表で、NetScalerにMCP Gateway機能を追加すると説明しました。MCPクライアントから承認済みバックエンドMCPサーバーへの単一の統制点を設け、認証、server allow/block list、ツール単位のrate limit、session persistence、監視などを行う構想です。

企業でMCPが広がると、次の管理対象が増えます。

どのAIエージェントが、どのMCPサーバーへ接続するか
誰のIDで、どのデータとツールへアクセスするか
読取、作成、更新、削除、送信、決済をどこまで許すか
何件・何円・何回まで実行できるか
誤操作や侵害時に誰が止め、どの鍵を失効するか

Gatewayはこれらを集中管理する助けになります。しかし、MCPサーバー側に危険なツールがあり、過大な権限を持ち、人の承認がなく、ログが不十分なら、入口を一つにしても安全にはなりません。

この記事は、複数部署でMCPやAIエージェントのPoCが始まり、全体像を説明できない経営者、CTO、情シス、セキュリティ責任者向けです。

AI ASSESSMENT

PoC の前に「そもそも使えるか」を30分で見極めませんか？

対象業務、データ、権限、ログ、運用責任を確認し、PoC前に失敗要因と本番化条件を整理します。

30分壁打ちを予約

公式発表で示された主な統制

横にスクロールして確認できます

統制	公式説明から確認できる内容
経路集約	承認済みバックエンドMCPサーバーへ動的にroute
認証	per-user／global token、OAuth、hybrid flow
制限	tool-based rate limiting、server allow/block list
継続性	session persistence、protocol-aware monitoring
LLM側	model routing、team・user・application別の利用可視化

これはCitrix製品の公表機能です。対応バージョン、提供形態、価格、全MCP実装との互換性、ログ項目、可用性は個別確認が必要です。

MCP Gateway導入で起きる5つの誤解

Gatewayを通ればツールは安全。 delete_customerやrun_shellの危険度は変わりません。
OAuthがあれば最小権限。 tokenのscope、委任先、MCPサーバー側認可が広ければ過剰権限です。
allow listがあれば十分。 承認済みサーバー内の危険ツール、更新後の追加ツールを見落とします。
ログがあれば復旧できる。 相関ID、利用者、agent、tool、入力、結果、承認、変更前後が必要です。
rate limitで暴走を防げる。 1回でも重大な削除・送金・情報送信は起こり得ます。

FREE DOWNLOAD

AI導入チェックリスト（PoC 失敗要因 10項目）

情シス部門が PoC 前に押さえるべき失敗要因を10項目に整理した無料チェックリスト。

30分で相談するチェックリストをDL

GXO式「MCP Gateway統制5ゲート100点」

横にスクロールして確認できます

ゲート	配点	満点の証拠	レッドフラグ
台帳・所有者	20	client、server、tool、data、owner、環境を一覧化	MCPサーバー数が不明
ID・認証	20	人・agent・serviceを分離し、短期tokenとscopeを設定	共通APIキーを配布
権限・承認	25	tool単位のallow、引数制約、高影響操作の人承認	server単位で全許可
ログ・費用	20	相関ID、入力、出力、承認、結果、token、費用を記録	chat履歴だけ
停止・復旧	15	server遮断、鍵失効、処理取消、代替運用、訓練	製品管理者しか止められない

合計点に関係なく接続を止める条件

誰の権限で実行されたか追跡できない
削除、送金、契約、公開、顧客連絡を人の確認なしで実行できる
tool引数へモデル出力を制約なく渡す
MCPサーバーが本番秘密情報や管理者資格情報へ到達できる
Gateway障害時に直接endpointへ迂回する設定がある

該当時はMCPサーバー全体ではなく、危険なtoolと本番データへの経路を優先して遮断します。

仮想記入例：営業支援エージェント

横にスクロールして確認できます

ゲート	得点	不足
台帳・所有者	14/20	個人開発のMCPが2台未登録
ID・認証	10/20	全営業が共通service account
権限・承認	12/25	CRM更新は承認あり、メール送信は自動
ログ・費用	9/20	tool名はあるが変更前後を保存しない
停止・復旧	6/15	token失効に半日かかる
合計	51/100	更新・送信系toolを停止

最初は顧客検索、商談要約、メール下書きだけを許可します。CRM更新は差分表示と人の承認を必須にし、メール送信は別権限へ分けます。個人開発MCPは登録・レビュー後まで接続させません。

最小MCP台帳

横にスクロールして確認できます

項目	記録例
Client／Agent	営業支援agent、本番／検証
Server／Owner	CRM MCP、営業企画部
Tool	customer.read、opportunity.update、mail.draft
Data	顧客、商談、担当者、機密区分
Identity	agent ID、利用者ID、service ID
Permission	read／draft／update／delete／send
Approval	不要／担当者／上長／二者承認
Limit	回数、件数、金額、時間帯、接続先
Log	相関ID、変更前後、承認者、結果
Stop	遮断担当、token失効、取消、代替運用