MCPサーバーやスキルに潜む不正な指示をツール「Snyk Agent Scan」はどう見抜くのか

「社員が勝手につないだMCPサーバー（AIエージェントに外部の道具をつなぐための接続先）が、何をしているのか分からない」「ネットで拾ったエージェント用のスキルを、そのまま使わせてよいのか判断できない」——AIエージェントの社内展開を任された情報システム部門やセキュリティ部門から、ここ半年で急に増えた声です。どちらも、検査の道具を一つ入れれば片づく問題に見えます。しかし本当に問われているのは、道具の有無ではありません。端末の中にどんなエージェントの部品があり、どれを使ってよいかを、誰が決めて誰が確かめるのかが決まっていないことです。この記事では、エージェントの部品を洗い出して危険な指示や権限を調べるツール「Snyk Agent Scan」を取り上げ、確かめられる事実、検査のときに社外へ送られる情報の範囲、企業が導入前に決めておくべき点を整理します。導入や操作の手順は扱いません。

Snyk Agent Scanとは何か。2026年10月時点で確かめられる事実

Snyk Agent Scanは、GitHubで公開されているツールです。リポジトリの説明は「AIエージェント、MCPサーバー、エージェントのスキルのためのセキュリティ検査の道具」です。READMEの冒頭では、端末にあるエージェントの部品を見つけ出し、プロンプトインジェクション（AIへの不正な指示の紛れ込み）や弱点を調べるものと説明されています。

配布の形を確かめます。リポジトリは開発者向けのセキュリティ製品で知られるSnyk社の組織アカウントにあり、2025年4月7日に作られました。ライセンスはApache-2.0です。2026年10月18日時点でスターは3,143、派生は292、最後の更新は10月16日でした。組織のアカウントは2015年6月に作られ、公開しているリポジトリは240件あります。スターの伸びは1日あたり約5.6件で、実績のある組織が継続して手を入れているリポジトリだと分かります。

配布の窓口は、パイソン向けの配布サイトに置かれたパッケージと、GitHubのリリースに置かれた単体で動く実行ファイルの二つです。READMEはこの二つの方法を案内し、ほかの言語向けの配布サイトにはパッケージを出していないと注記しています。最新の正式版は2026年9月29日の0.6.8で、10月15日には次の版の試験版が出ています。外部からの改修の受け付けは現時点で閉じており、不具合の報告や要望だけを受け付ける運営です。

前身は「MCP-Scan」。名前が変わった経緯

このツールには前身があります。2025年4月11日、スイス連邦工科大学チューリッヒ校から生まれたAIセキュリティの研究企業、Invariant Labsが「MCP-Scan」を公開しました。公開時の告知では、MCPサーバーの道具の説明文に悪意ある指示を仕込むツールポイズニング（道具の説明文への毒の仕込み）、いったん承認された道具の説明文を後から書き換える手口、信頼している別の道具の振る舞いを横取りする手口を検査の対象に挙げていました。

2025年6月24日、Snyk社はInvariant Labsの買収を発表しました。発表文は、ツールポイズニングなどの攻撃の呼び名をInvariant Labsが見つけて名付けたと紹介しています。その後、パイソン向けの配布サイトにある旧パッケージ「MCP-Scan」の最終版（2026年3月2日の0.4.3）には、名前を新しいパッケージに改めたと書かれ、旧パッケージを入れると新しいパッケージが入る形になっています。旧リポジトリのアドレスを開くと、現在のリポジトリのページが表示されます。

名前の変化には中身の変化も表れています。MCP-Scanは名前のとおりMCPサーバーを検査する道具でしたが、READMEによると0.4系でエージェントのスキルの検査が加わりました。いまはMCPサーバーだけでなく、エージェントの本体、MCPサーバー、スキルをまとめて扱う道具に広がっています。なお、利用規約の準拠法はスイスの法律とされており、前身の運営の名残と読めますが、理由は一次情報では説明されていません。

なぜ今、エージェントの部品を検査する必要があるのか

AIエージェントは、外部の道具や手順書を後から足して使うのが普通になりました。MCPサーバーをつなげばメールや社内の資料に手が届き、スキル（エージェントに特定の作業のやり方を教える手順書と付属の処理）を入れれば、複雑な作業も任せられます。問題は、この部品の多くが、誰が作ったか確かめにくい場所から入ってくることです。

提供元のSnyk社は2026年2月、公開されているスキルの配布場所から集めた3,984件を調べた報告を出しています。それによると、13.4%に当たる534件に重大度の高い問題が少なくとも一つあり、人の確認で悪意があると確かめられたものが76件ありました。調査には前身のMCP-Scanの検査の仕組みが使われたと書かれています。文章で書かれた手順書の中に、不正な処理への誘導が紛れ込むという、従来のウイルス対策では拾いにくい経路があることを示す数字です。

MCPサーバーも事情は同じです。道具の説明文はAIが読むためのもので、人はふだん目にしません。説明文に紛れ込ませた指示は、利用者が気づかないままエージェントの判断を変えうるとされます。人が読まない文章を、人の代わりに読んで怪しい箇所を示すことが、この種の検査の道具の役割です。

何を検査するのか。0.6系が挙げる14の危険

最新の0.6系は、検査の結果を14種類の危険の指標で示します。リスクの説明文書によると、MCPサーバーについては四つです。道具の説明文に紛れた不正な指示、攻撃者が書き込める経路（メールや問い合わせなど）から来る内容を扱うこと、社外秘の情報に手が届くこと、共有の基盤やほかの利用者に影響する破壊的な操作ができることです。

スキルについては十種類が挙げられています。手順書に紛れた不正な指示、出所の怪しい場所からの取得の誘導、情報の持ち出しや裏口に当たる処理、鍵や合言葉の雑な扱い、本物の秘密の値の書き込み、支払いや送金への直接の権限、公開の場の内容をそのまま取り込む作り、実行時に外から処理を読み込む作り、システムの設定の書き換え、そして説明書きの欠落です。コードの誤りより、権限の広さと指示の紛れ込みに重心があるのが特徴です。

それぞれの指標は0から1000の点数で表され、現時点では低・中・高・重大の四段階が使われています。指標は解析で根拠が見つかったときだけ表示され、人が読める根拠の説明が付くとされます。説明文書は、点数だけでなく指標の名前、点数、根拠を合わせて読むよう勧めています。点数は判断の材料であって、判断そのものではないということです。

どうやって見抜くのか。部品の洗い出しから解析まで

READMEによると、検査は三つの段階で進みます。まず、端末にあるエージェントの設定を探し、エージェントの本体、スキル、MCPサーバーを見つけます。READMEに名前が挙がっている対応先は、主要なAIエージェントやコード編集の道具を中心に十数種類あります。

次に、MCPサーバーについては実際に接続し、道具の説明文などを取り出します。最後に、手元での確認と、提供元が運営する解析の仕組み（以下、解析サービス）への問い合わせを組み合わせて判定します。つまり、判定の中心は手元ではなく、提供元の解析サービスにある作りです。解析サービスを使うには、提供元のアカウントと利用の鍵が必要です。

解析サービスの版も固定されています。0.5系は2025年9月の版、0.6系は2026年7月の版の解析サービスを使うとされます。0.5系は廃止の予定と明記されています。また、READMEは検査結果の出力の形式は試験的で、予告なく変わりうると繰り返し注意しています。出力の項目に依存した仕組みを本番の業務に組むことは勧めない、という立場です。

検査のときに何が社外へ送られるのか

防御担当者にとって最も大事な点です。検査の説明文書によると、0.6系では「見つけたエージェントの情報、MCPサーバーの設定とその識別のための情報、スキルのファイル」が提供元と共有されます。0.5系では「エージェントの本体、スキル、道具の名前と説明文」が共有されるとされています。検査の中身そのものが、社外の解析サービスに渡るということです。

送る前の保護として、0.6系では設定の値や文章の中の秘密の値を伏せてから送るとされています。接続の可否を尋ねる確認の画面でも、環境に設定された値や接続の際に付ける認証の情報は伏せて表示されます。また、MCPの道具を呼び出した中身や結果といった利用の記録は、保存も記録もしないと書かれています。

一方で、確かめられなかったこともあります。送った情報の保存期間、解析に使ったあとの扱い、送らずに手元だけで判定する方式は、確認した文書には書かれていませんでした。解析を求めずに部品を洗い出すだけの使い方はありますが、それは危険の判定をしない使い方です。前身の告知には、「道具の説明文を共有したくないなら使わないでほしい」という趣旨の一文がありました。秘密の値を伏せる仕組みがあっても、社内向けに自作したスキルの中身や接続先の構成は社外に出ます。この前提を受け入れられるかを、導入前に決める必要があります。

検査そのものが接続先を動かすという注意

READMEには、目立つ形で警告が書かれています。MCPの設定を検査すると、命令が実行されたり、外への通信が起きたりするというものです。道具の説明文を読むために、手元で動く接続先は設定に書かれた命令を実行して起動し、遠隔の接続先には設定どおりの認証の情報を付けてつなぐからです。

このためREADMEは、出所の分からない設定や第三者の設定を調べるときは、使い捨ての環境や仮想の機械の中で検査するよう勧めています。対話で検査するときは、接続先ごとに起動する命令や接続先のアドレスを示して同意を求め、断ったものには接続しないとされます。一方、定期的に裏で回す検査では、遠隔の接続先には自動でつなぎ、手元の接続先は特別な指定がない限り起動しない作りです。

遠隔の接続先については、クラウドの管理用の情報を返す特別なアドレスなどへの接続を拒み、転送の指示にも従わないとされています。ただしREADMEは、名前の解決を確かめたあと実際につなぐまでのあいだにすり替えの余地が残ることも自ら認めています。検査の道具も、使い方しだいで危険な接続を起こしうる道具だということです。なお、2026年9月の更新では、設定の内容によって起動する実行ファイルが変えられうる点を改めた修正が入っています。

組織で回す使い方と、提供元の商用の仕組み

READMEは、端末一台を検査して結果を表示する使い方のほかに、裏で定期的に検査を回す使い方を説明しています。こちらは端末管理の仕組みから配る想定で、結果は提供元の商用の管理画面に集まり、会社全体のエージェントの部品の流通を一か所で見るためのものとされています。導入には提供元への問い合わせが必要です。

このため、公開されているOSSと商用の仕組みの関係を整理しておく必要があります。READMEは、企業向けの利用では、公開の道具の出力が商用の管理画面に送られて表示される内容と一致しない場合があると書いています。また、大規模な検査に通常の解析サービスを使うことは勧めていません。OSSとして公開されているのは検査の道具の側で、判定の中心である解析サービスは提供元が運営する別のものと理解しておくのが正確です。

解析サービスには、公開の道具のライセンスとは別に利用規約があります。規約は、利用者が送った内容について提供元に広い利用の許諾を与えること、規約を提供元の判断で変更できること、サービスは現状のまま提供され保証がないことを定めています。コードがApache-2.0で公開されていることと、解析サービスを自由な条件で使えることは別の話です。

似た手段と何が違うのか

エージェントの部品を確かめる方法は、この道具だけではありません。一次情報で確認できた範囲をもとに、代表的なやり方と比べます。いずれも優劣ではなく、何を守りたいかで選ぶ話です。

見る点	人が目で確かめる	従来のウイルス対策・コード検査	Snyk Agent Scan
見つける対象	確かめると決めた部品だけ	ファイル単位の既知の不正な処理	端末のエージェントの部品を自動で洗い出す
文章に紛れた指示	読めば気づける場合がある	拾いにくい	検査の対象として明示されている
権限の広さの評価	人の経験しだい	対象外のことが多い	社外秘の情報や破壊的な操作への手の届き方を指標で示す
社外への送信	なし	製品による	部品の情報や設定、スキルの中身を解析サービスへ送る
検査に伴う動作	なし	ファイルを読むだけのことが多い	接続先を起動・接続して説明文を取り出す
判断の根拠	確かめた人の記録	検出名	指標の名前・点数・根拠の説明

表のとおり、この道具の特徴は、人が読まない文章を読んで、権限の広さと合わせて示す点にあります。従来の検査を置き換えるものではなく、その隙間を埋めるものと読むのが妥当でしょう。一方で、社外への送信と、検査に伴う接続先の起動という二点は、従来の検査とは性格が違います。

安全性の評価：注意付きとした根拠

このラインでは、紹介する題材を公開されている事実だけを基に精査しています。題材を入手したり動かしたりはしていません。Snyk Agent Scanの判定は「注意付き」です。配布元や配布物に不審な点は見当たりませんでしたが、使い方の前提に、導入前に確かめるべき点が三つあるためです。

まず、問題が見つからなかった事実です。運営は2015年に作られたSnyk社の公式の組織アカウントで、公開しているリポジトリは240件あります。ライセンスはApache-2.0です。GitHub上にこのリポジトリのセキュリティ勧告は登録されておらず、弱点の報告の窓口は提供元の文書に案内されています。リポジトリの直下には作業をまとめる設定ファイルがありますが、取り込みのときに自動で動く処理は見当たりませんでした。配布物には部品表、検算用の値、提供元の電子署名付きの検算用の値が添えられ、入手したものが本物かを確かめる手段が示されています。

そのうえで注意付きとした根拠は次の三点です。一つ目は社外への送信です。検査のたびに、見つけたエージェントの情報、MCPサーバーの設定、スキルのファイルが提供元の解析サービスへ送られます。秘密の値は伏せるとされますが、送った情報の保存期間や、手元だけで判定する方式は確認できませんでした。二つ目は利用規約です。判定に使う解析サービスにはコードのライセンスとは別の規約が掛かり、送った内容への広い利用の許諾や、提供元の判断による規約の変更が定められています。三つ目は検査に伴う動作で、検査そのものが手元の接続先を起動し、遠隔の接続先に認証の情報を付けてつなぐことが、READMEで警告されています。

なお、この判定は安全の保証ではありません。精査は公開情報の範囲に限られ、コードの中身を検証したものではないからです。注意付きは「使ってはいけない」という意味ではなく、社外へ出す情報の範囲と検査する場所を先に決めてから使うべき道具という意味です。次の章の注意点と合わせて判断してください。

導入前に知っておきたい注意点

第一に、社外への送信です。検査のたびに、部品の情報、MCPサーバーの設定、スキルの中身が提供元の解析サービスへ送られます。秘密の値は伏せるとされていますが、社内の接続先の構成や、自作したスキルの手順そのものは出ていきます。社外へ出してよい情報の区分に照らして、法務や情報管理の担当と事前に確認する必要があります。

第二に、検査に伴う動作です。手元の接続先を起動し、遠隔の接続先に認証の情報を付けてつなぐため、検査の対象が不正なものだった場合、検査そのものがその不正な処理を動かすきっかけになりえます。出所の分からない設定は、使い捨ての環境で調べるというREADMEの勧めは、そのまま社内の決まりにしてよい内容です。

第三に、出力の形式が試験的である点と、版の移行です。0.5系は廃止の予定で、0.6系とは出力の考え方が違います。検査の結果を社内の仕組みに取り込むなら、版を固定し、更新のたびに出力の変化を確かめる運用が要ります。第四に、日本語での紹介がまだほとんど見当たらない点です。確認した範囲では、日本語で仕組みや送信の範囲を整理した資料は見つけられませんでした。

悪用されうるリスク

Snyk Agent Scanは守りのための道具で、攻撃に使うための道具ではありません。それでも、使い方しだいで生まれうる危険はあります。最も大きいのは、「検査で何も出なかった」という結果が、安全の証明として独り歩きすることです。指標は根拠が見つかったときだけ表示されるため、表示がないことは「見つからなかった」以上の意味を持ちません。

次に挙げるのは推測ですが、検討の材料として無視できません。検査が接続先を起動する性質を知った攻撃者が、検査されることを見越した不正な設定を用意する、という筋書きは考えられます。また、検査を逃れるように書き方を工夫した説明文や手順書が出てくる可能性もあります。検査の道具がある以上、それをすり抜けようとする工夫も生まれる、と考えておくのが自然です。

もう一つ、利用の鍵の管理です。解析サービスを使う鍵が漏れれば、第三者に自社の名義で検査を回されたり、組織の利用枠を使われたりする可能性があります。鍵を個人に配りっぱなしにせず、誰が持っているかを把握することが前提になります。なお、この道具が実際に悪用された事例は、2026年10月18日時点で確認した一次情報からは見つけられませんでした。

導入を検討するときに確かめること

実際に検討するときは、動かす前に、資料と社内の取り決めで確かめられる点から整理します。下の手順は、ツールを動かす前の段階で終えられるものに絞っています。

この手順の要は、動かす前に「何を社外へ出すか」と「誰が結果を判断するか」を決めておくことです。検査の道具は、入れた瞬間から「調べている」という安心を生みます。その安心の中身を先に決めておかないと、送ってはいけない情報が送られ、出た結果が誰にも読まれない状態が続きます。

企業が取るべき対策

一つ目は、社内でエージェントに足してよい部品の決まりを作ることです。MCPサーバーとスキルを、許可したもの、確認中のもの、使わないものに分け、一覧にします。検査の道具は、この一覧に載せる前の確認の手段として位置づけます。

二つ目は、部品の棚卸しです。社員の端末に、どのエージェントと、どの接続先と、どのスキルが入っているかを把握します。把握していない部品は、検査の対象にもならないからです。三つ目は、社外へ送る情報の決まりです。検査の道具に限らず、エージェントの部品の情報を社外のサービスへ渡すときの条件を決めます。

四つ目は、部品の変化の見張りです。前身のMCP-Scanは、承認したあとに道具の説明文が書き換えられる手口を問題にしていました。一度確認した部品も、更新のたびに中身が変わりうるという前提で、定期的に見直す運用を決めます。五つ目は、調達のときの確認です。提供元の運営体制、弱点の報告の窓口、送った情報の扱い、商用の仕組みとの関係を、導入前に文書で確かめます。

AIに任せる範囲と、人が決める範囲

この道具は、人が読まない文章を代わりに読み、怪しい箇所を示してくれます。判定の中心には提供元の解析サービスがあり、そこではAIを使った解析が行われているとみられますが、その中身は一次情報では詳しく説明されていません。だからこそ、検査の結果をAIの判断のまま受け入れず、根拠の説明を人が読むことが欠かせません。

具体的には、どの情報を社外へ送ってよいか、どこで検査するか、どの指標が出たら使用を止めるか、例外を誰が認めるか。この四つは道具にもAIにも委ねず、人が決めて記録に残します。道具に任せてよいのは、決めた範囲の中で、人が読み切れない量の説明文や手順書を読む部分です。やってはいけない向き合い方を挙げます。

• 「検査で何も出なかった」を理由に、出所の分からないスキルをそのまま使わせる
• 社外へ送られる情報の範囲を確かめずに、社員の端末で一斉に検査を回す
• 出所の分からない設定を、業務で使っている端末の上で直接検査する
• 点数だけを見て、根拠の説明を読まずに使用の可否を決める
• 解析サービスの鍵を、持ち主を決めずに複数人で使い回す
• 試験的とされている出力の項目に依存した仕組みを、版を固定せずに本番で動かす

裏を返せば、人が決める範囲ははっきりしています。何を社外へ出すか、どこで検査するか、どの結果で止めるか、誰が例外を認めるか。この四つが決まっていないまま検査の道具を入れても、守りの厚みは増えません。

よくある質問：社外に送りたくない場合はどうするのか

確認した範囲では、危険の判定を手元だけで完結させる方式は説明されていませんでした。部品を洗い出して道具の説明文を取り出すだけの使い方はありますが、それは判定をしない使い方です。判定を受けるなら、部品の情報を解析サービスへ送ることが前提と考えてください。社内で自作したスキルや社内向けの接続先の構成を外に出せない場合は、検査の対象から外すか、別の確認の方法を組み合わせることになります。

もう一つ、「無料で公開されている道具なら、社内の全端末で使ってよいのか」という問いもありそうです。コードはApache-2.0で公開されていますが、判定に使う解析サービスには別の利用規約があり、大規模な検査には通常の解析サービスを使わないよう案内されています。組織全体で回すなら、提供元の商用の仕組みとの関係を含めて確かめる必要があります。

• Snyk Agent Scanの機能・版・送信の範囲・前身からの経緯は、GitHubのリポジトリとその中の文書、利用規約、リリースの一覧、パイソン向けの配布サイト、前身と提供元の告知を2026年10月18日に確かめた範囲に基づきます。内容は変わる可能性があります
• 送った情報の保存期間、解析サービスでの扱い、商用の仕組みの料金と機能は、確認した一次情報の範囲では十分に確かめられませんでした。導入の判断では提供元の最新の資料を確認してください
• この記事は守りと評価の目線で書いています。導入・設定・実行の手順は扱いません

まとめ

Snyk Agent Scanは、端末に入ったAIエージェント、MCPサーバー、スキルを洗い出し、道具の説明文や手順書に紛れた不正な指示、危険な権限、隠れた不正な処理を調べるツールです。前身はInvariant Labsが公開したMCP-Scanで、Snyk社の買収を経て名前を改め、スキルの検査まで範囲を広げました。Apache-2.0で公開され、運営はSnyk社の公式の組織アカウントで、GitHub上にセキュリティ勧告は登録されていません。

一方で、検査の判定は提供元の解析サービスで行われ、部品の情報や設定、スキルの中身が社外へ送られます。検査そのものが接続先を起動しうることも、READMEが自ら警告しています。何を社外へ出すか、どこで検査するか、どの結果で止めるか、誰が例外を認めるかは、道具ではなく人が決める範囲です。この四つを先に決めたうえで使うことが、エージェントの部品が増え続ける時代のSnyk Agent Scanとの付き合い方です。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。