社内のAIチャットに「先月の問い合わせ傾向をまとめて」と頼んでも、AIが問い合わせ管理システムの中身を見られなければ、返ってくるのは一般論だけです。生成AIを業務で使い込むほど、性能そのものより「社内のデータやツールにつながっているか」が成果を左右すると感じる場面が増えてきました。

その「つなぎ方」を共通化する規格として広がっているのがMCPです。この記事では、MCPとは何かという基本から、仕組み、API連携やA2Aとの違い、業務での活用例、セキュリティ上の注意点、企業で導入するときの進め方までを順に整理します。

この記事を読むと理解できること

• MCPとは何か、Model Context Protocolが生まれた背景

• MCPのホスト・クライアント・サーバーの3層構造と処理の流れ

• MCPサーバーが提供するツール・リソース・プロンプトの役割

• 従来のAPI連携やA2A、RAGとMCPの違い

• MCPを業務で使う具体的な活用例

• MCPサーバーの探し方と作り方の概要

• MCPのセキュリティリスクと企業導入で押さえるべきポイント

MCPとは何か、Model Context Protocolの基本と注目される背景

MCPとは、Model Context Protocolの略で、AIアプリケーションと外部のツールやデータソースを標準化された方法で接続するためのオープンなプロトコルです。Claudeを開発するAnthropicが2024年11月に公開しました。AIがファイル、データベース、SaaS、社内システムなどにアクセスする際の「接続のしかた」を共通ルールとして定めたもので、よく「AIのためのUSB-C」と例えられます。

USB-Cがあれば、メーカーが違う機器でも同じ端子で充電やデータ転送ができます。MCPも同じ発想で、AI側とツール側がそれぞれMCPに対応していれば、組み合わせごとに専用の接続コードを書かなくても連携できるようになります。プロトコルとはあくまで約束事であり、MCPそのものが何かを自動でしてくれる製品ではない点は押さえておきたいところです。

MCPが必要とされた理由とN×M問題

MCPが登場する前は、AIアプリに外部ツールをつなぐたびに、接続先ごとの仕様に合わせた連携処理を個別に開発する必要がありました。たとえば3つのAIアプリと5つの社内ツールをつなぐ場合、理屈の上では3×5で15通りの個別実装が発生します。これがN×M問題と呼ばれる構造です。

MCPを使うと、AIアプリ側はクライアントを、ツール側はサーバーを1つずつ用意すれば済みます。先ほどの例なら3＋5の8つの実装で、どの組み合わせでもつながる状態を作れます。連携先が増えるほど、この差は開発コストと保守負担の差として効いてきます。

生成AIからAIエージェントへの流れとMCP

MCPがここまで注目される背景には、生成AIの使われ方の変化があります。文章を作る、要約するといった「回答する」用途から、社内データを参照しながら複数の作業を自律的に進める「AIエージェント」へと、期待が移りつつあります。

AIエージェントが仕事を前に進めるには、最新の情報を読み、必要な操作を実行できなければなりません。MCPはその前提となる「つながる土台」を担う規格として位置づけられています。

主要ベンダーの採用と標準化の動き

MCPはAnthropic発の規格ですが、すでに一社の独自仕様という段階を越えています。OpenAIは2025年3月にAgents SDKでMCPへの対応を打ち出し、Microsoftも2025年5月の開発者会議Build 2025でMCPへの幅広い対応を表明しました。

さらに2025年12月には、AnthropicがMCPをLinux Foundation傘下に新設されたAgentic AI Foundationへ寄贈し、中立的な団体のもとで仕様が管理される体制になりました。ベンダーをまたいで使える共通規格として扱えるようになったことが、企業での採用判断を後押ししています。

MCPとはどんな仕組みか、ホスト・クライアント・サーバーの3層構造

MCPの仕組みは、ホスト、クライアント、サーバーという3つの要素で整理すると理解しやすくなります。利用者側にホストとクライアントがあり、提供者側にサーバーがあるクライアント・サーバー方式です。

MCPホスト、MCPクライアント、MCPサーバーの役割

MCPホストは、ユーザーが実際に操作するAIアプリケーションです。Claude Desktopのようなチャットアプリ、CursorやVS Codeのような開発環境、自社で作ったAIアプリなどがこれにあたります。

MCPクライアントは、ホストの中で動き、サーバーとの接続を確立して維持する役割を持ちます。原則として1つのサーバーに対して1つのクライアントが対応し、ホストは複数のクライアントを通じて複数のサーバーを同時に扱えます。

MCPサーバーは、外部のツールやデータへの窓口です。GitHub、Slack、データベース、ローカルのファイルなど、接続先ごとに用意され、AIに何を見せ、どの操作を許すかを定義します。

MCPサーバーが提供するツール、リソース、プロンプト

MCPサーバーがAIに提供できる機能は、大きくツール、リソース、プロンプトの3種類に分かれます。

ツールは外部に変化を起こす「手」、リソースは参照するための「目」にあたります。プロンプトは利用者が選んで使うテンプレートで、業務ごとの決まった進め方をサーバー側で用意しておけます。なお、クライアント側の機能として、サーバーがホストのAIモデルに生成を依頼するサンプリングなども仕様に定義されています。

通信方式とデータのやり取り

MCPのメッセージは、JSON-RPC 2.0という形式を土台にやり取りされます。通信経路はトランスポートと呼ばれ、同じPC上でサーバーを動かす場合は標準入出力（stdio）、ネットワーク越しのリモートサーバーにはHTTPベースの方式が使われます。

リモートのMCPサーバーでは、OAuth 2.1をベースにした認可の仕組みが仕様に組み込まれています。社内システムに接続する場面では、この認証・認可の設計が実運用の要になります。

MCPを使ったときの処理の流れ

実際の処理は、おおむね次の順で進みます。

1. ホストが起動時にMCPサーバーへ接続し、使えるツールやリソースの一覧を受け取る

2. ユーザーが自然言語で依頼する

3. AIモデルが依頼内容を解釈し、どのサーバーのどのツールを使うかを判断する

4. クライアントがサーバーへリクエストを送り、サーバーが外部システムを操作する

5. 結果がAIモデルに返され、ユーザーへの回答にまとめられる

ポイントは、AIが「今使える道具」を一覧で把握したうえで、どれを使うかを自分で選ぶところです。人間がAPIの呼び出し順を逐一プログラムしなくてよい点が、従来の連携との大きな違いになります。

MCPとAPI連携の違いとは

MCPとAPI連携の違いは、「誰が、どうやって外部機能を使うか」にあります。APIは人間の開発者がプログラムの中で明示的に呼び出すための窓口です。一方MCPは、AIが自律的に外部機能を見つけて使えるようにするための共通ルールです。

MCPはAPIを置き換えるものではない

誤解されやすい点ですが、MCPはAPIの代わりではありません。多くのサーバーは、内部で既存のAPIを呼び出しています。MCPは、AIとAPIのあいだに入る標準化レイヤーと捉えるのが正確です。

そのため、すでに社内システムにAPIが整っている企業ほど、MCPサーバーを薄く被せるだけでAIから使える状態に近づけます。逆にAPIが整備されていない古いシステムの場合は、MCP対応の前にデータの取り出し口を作る作業が必要になります。

どちらを選ぶかの考え方

処理の手順が毎回同じで、確実に同じ結果を出したい連携は、従来どおりAPIをプログラムから呼ぶ方が向いています。給与計算や会計仕訳のように、結果のぶれが許されない処理をAIの判断に任せる理由はありません。

一方、問い合わせ内容に応じて参照先や操作が変わる業務では、MCPでAIに道具を渡す方が柔軟に対応できます。実務では、確定的な処理はAPIやワークフローとして固めておき、それをMCPのツールとして公開してAIに呼ばせる、という組み合わせがよく採られます。

MCPとA2Aの違いとは、RAGとの関係もあわせて整理

MCPと並んでよく名前が挙がるのが、A2AとRAGです。いずれもAIを業務で使うための仕組みですが、解決しようとしている課題が異なります。

MCPとA2Aの違い

A2A（Agent2Agent）は、Googleが2025年4月に発表した、AIエージェント同士が連携するためのプロトコルです。MCPが「AIエージェントとツール・データ」をつなぐのに対し、A2Aは「AIエージェントとAIエージェント」をつなぎます。

たとえば、営業支援エージェントが見積作成を経理エージェントに依頼する、といったエージェント間のタスク委譲がA2Aの守備範囲です。各エージェントがCRMや会計システムを操作する部分にはMCPが使われます。両者は競合ではなく補完関係にあり、Google自身もA2AをMCPを補完するものと説明しています。A2Aも2025年6月にLinux Foundationへ移管されています。

A2Aの仕組みや使いどころは、A2Aとは何かを解説した記事で詳しく整理しています。

MCPとRAGの違い

RAG（検索拡張生成）は、社内文書などから関連情報を検索し、その内容を踏まえてAIに回答させる手法です。主な目的は「回答の根拠となる知識を与えること」で、基本的には読み取りの仕組みです。

MCPは接続の規格であり、読み取りに加えて書き込みや実行といった操作も扱えます。RAGの検索機能そのものをサーバーとして公開し、AIから呼び出せるようにする構成も一般的で、両者は組み合わせて使うものと考えて差し支えありません。

MCPとは業務でどう使えるか、具体的な活用例

MCPの価値は、AIが複数のシステムをまたいで情報を集め、必要な操作まで進められる点にあります。ここでは業務での代表的な使い方を紹介します。

開発業務での活用

もっとも早く普及したのが開発領域です。開発環境やコーディングエージェントにGitHubやデータベースのMCPサーバーをつなぐと、AIがリポジトリの変更履歴を読んでレビューコメントを書いたり、テーブル定義を確認しながらSQLを組み立てたりできます。

課題管理ツールとつなげば、チケットの内容を読み取って実装方針を提案し、作業後にステータスを更新するところまで一続きで任せられます。

営業・カスタマーサクセスでの活用

CRM、商談記録、サポート履歴などを別々のツールで管理している企業では、顧客の状況を把握するだけで複数の画面を行き来することになります。MCPでこれらをAIにつなげば、顧客名を伝えるだけで関連情報を横断して集め、商談前の要点整理や解約リスクの兆候の洗い出しを任せられます。

担当者が手作業で集めていた情報をAIが揃えることで、人は判断や顧客とのやり取りに時間を使えるようになります。

社内ナレッジ検索と問い合わせ対応

社内Wiki、規程集、過去のFAQなどをMCP経由で参照できるようにすると、社内問い合わせへの一次回答や、カスタマーサポートの回答案づくりに活用できます。回答の根拠となった文書を示させる運用にすれば、確認の手間も抑えられます。

データ集計とレポート作成

売上データベースや広告管理ツールとつなぎ、データの取得、集計、前月比較、グラフ化までをAIに任せる使い方もあります。定例レポートのたびに手作業でデータを抜き出していた業務は、MCPと相性のよい対象です。

こうした活用を自社システムで実現する方法は、Claude APIとMCPを使った開発の進め方でも紹介しています。

MCPサーバーの探し方と作り方とは

MCPを使い始めるときは、既存のサーバーを探して使う方法と、自社用に作る方法の2通りがあります。

既存のMCPサーバーを探す

主要なSaaSやデータベースについては、提供元の公式MCPサーバーや、オープンソースコミュニティが公開したサーバーがすでに多数存在します。MCPの公式サイトやGitHub上の公式リポジトリ、公式レジストリが入り口になります。

使い方の基本は、ホストアプリの設定ファイル（JSON形式）に、接続したいサーバーの情報を書き加えるだけです。プログラミングの知識がなくても試せる手軽さが、普及を後押しした理由の一つです。

ただし、誰でもMCPサーバーを公開できるため、品質や安全性にはばらつきがあります。業務で使う場合は、提供元が公式か、更新が続いているか、どんな権限を要求するかを必ず確認してください。

自社用のMCPサーバーを作る

社内の独自システムや基幹データをAIにつなぎたい場合は、MCPサーバーを自作します。公式SDKがPython、TypeScript、Java、Kotlin、C#などの言語向けに提供されており、既存のAPIをラップしてツールやリソースとして公開する形で作るのが一般的です。

作るときに大切なのは、AIに渡す道具の粒度です。データベースへの自由な書き込みを丸ごと渡すのではなく、「顧客情報を参照する」「見積を下書き保存する」のように業務単位で絞ったツールにすると、安全性と結果の安定性が高まります。ツールの説明文はAIが道具を選ぶ手がかりになるため、何ができて何ができないかを具体的に書くことも重要です。

自社業務に合わせたAIエージェントやMCPサーバーの設計から相談したい場合は、AIエージェント開発の進め方と依頼先の選び方も参考になります。

MCPとは切り離せないセキュリティリスクと対策

MCPはAIに外部システムを操作する力を与えるため、便利さと同じだけリスクも大きくなります。MCPは接続のルールを定めたものであり、安全性を自動で保証するものではありません。

代表的なリスク

まず注意したいのがプロンプトインジェクションです。AIが読み取ったWebページや文書、メールの中に悪意ある指示が仕込まれていると、AIがそれに従って意図しない操作をしてしまうおそれがあります。

次に、ツールポイズニングと呼ばれるリスクがあります。悪意あるMCPサーバーが、ツールの説明文に隠し指示を埋め込んだり、正規のツールを装ったりして、情報の持ち出しや不正操作を誘導する手口です。

さらに、権限の与えすぎも典型的な事故原因です。AIに管理者権限のまま基幹システムを触らせると、誤った判断一つで大量のデータ変更や情報漏えいにつながりかねません。

押さえておきたい対策

対策の基本は、従来の情報セキュリティの考え方をAIにも当てはめることです。

• 信頼できる提供元のMCPサーバーだけを使い、導入前に中身と要求権限を確認する

• 権限は最小限にし、まずは読み取り専用から始める

• リモート接続ではOAuth 2.1などで認証・認可を設計し、認証情報を設定ファイルに平文で置かない

• 送金、削除、外部送信などの重要な操作は、実行前に人が承認する仕組みにする

• 操作ログを記録し、誰の依頼でAIが何をしたかを追跡できるようにする

• サーバーのバージョンと脆弱性情報を定期的に確認する

特にプロンプトインジェクションは、AIを外部とつなぐ以上避けて通れない論点です。具体的な手口と対策は、プロンプトインジェクションの対策を解説した記事にまとめています。

企業でMCPを導入するときのポイントとは

MCPは個人なら設定ファイル一つで試せますが、企業で使うとなると、技術よりも運用設計の比重が大きくなります。導入を進めるときに押さえたいポイントを整理します。

目的と対象業務を先に決める

「MCPを使うこと」自体を目的にすると、つないだものの使われないAIが残りがちです。まずは情報収集に時間がかかっている、複数システムの転記が多いといった具体的な業務課題を選び、その業務に必要なシステムだけをつなぐところから始めます。

小さく始めて検証する

最初は読み取り中心の業務で、利用者も限定してPoCを行うのが安全です。AIが正しい道具を選べているか、回答の根拠が確かか、現場の作業時間が実際に減ったかを確認し、効果が見えてから書き込みを伴う業務へ範囲を広げます。

統制のルールを整える

誰がどのMCPサーバーを使ってよいのか、AIにどの操作まで許可するのかを、管理者が決めておく必要があります。社員が個人の判断で野良のサーバーを業務PCに入れてしまう事態を防ぐためにも、利用を認めるサーバーの一覧と申請の流れを用意しておくと運用が安定します。

使われる体験として設計する

最後に見落とされがちなのが、現場が使い続けられるかという視点です。AIが何をしようとしているのかが画面上で分かること、承認や修正がしやすいことなど、業務の流れに沿った体験として設計しなければ定着しません。MCPは土台であり、その上に乗る業務設計とUIが成果を決めます。

まとめ

MCPとは、AIアプリケーションと外部のツールやデータを共通のルールでつなぐためのオープンなプロトコルです。Anthropicが2024年11月に公開し、OpenAIやMicrosoftなど主要ベンダーの採用を経て、2025年12月からはLinux Foundation傘下の団体で管理される業界標準になりました。

仕組みはホスト、クライアント、サーバーの3層で、サーバーがツール、リソース、プロンプトをAIに提供します。APIを置き換えるものではなくAIとAPIのあいだに入る標準化レイヤーであり、エージェント同士をつなぐA2Aや、知識を検索するRAGとは役割を分けて組み合わせるのが基本です。

一方で、AIに操作の権限を与える以上、プロンプトインジェクションや過剰権限への対策は欠かせません。企業で導入する際は、対象業務を絞った小さな検証から始め、権限と承認のルールを整えたうえで、現場が使い続けられる体験として設計することが成功の近道です。

MCPに関するよくある質問

MCPを使うにはプログラミングの知識が必要ですか

既存のMCPサーバーを使うだけであれば、多くの場合はホストアプリの設定ファイルに接続情報を書き加えるだけで利用できます。自社システム向けのサーバーを新たに作る場合は、PythonやTypeScriptなどでの開発知識が必要です。

MCPは無料で使えますか

MCPはオープンなプロトコルなので、規格そのものの利用に費用はかかりません。公開されているサーバーの多くも無料で使えますが、ホストとなるAIアプリの利用料や、接続先SaaSのライセンス、サーバーを動かすクラウド費用などは別途かかる場合があります。

MCPに対応しているAIツールにはどのようなものがありますか

ClaudeのアプリやClaude Codeのほか、CursorやVS Codeといった開発環境、OpenAIのAgents SDKなどがMCPに対応しています。対応状況は各ツールの更新で変わるため、導入時には公式ドキュメントで最新の対応範囲を確認してください。

MCPとAPIはどちらを使えばよいですか

処理手順が決まっていて結果のぶれが許されない連携はAPIをプログラムから呼び、状況に応じて参照先や操作が変わる業務はMCPでAIに任せる、という使い分けが基本です。両者は対立するものではなく、APIで作った確実な処理をMCPのツールとして公開する組み合わせも一般的です。