HexStrike-AIはMCPで何をつなぐか｜連携の危うさを知る

「AIエージェントから診断の道具をまとめて動かせる仕組みが出回っていると聞いた。うちに関係はあるのか」「社内のAIにも外部の道具をつなぎ始めたが、どこまで渡してよいのか線が引けない」——2025年の秋ごろから、情報システムやセキュリティの担当者の間で目立ってきた二つの声です。一見別々の悩みに見えますが、根は同じところにあります。HexStrike-AI は、公式の説明によれば、AIエージェントから多数のセキュリティの道具を呼び出せるようにするMCPサーバーです。これは一部の専門家向けの珍しい道具の話で終わりません。本当は、AIエージェントに強い道具をまとめて渡すと、誰が何をできるかの線が一気に動くという、社内のAI活用にもそのまま当てはまる問題の見本です。この記事では、HexStrike-AI が何をつなぐ仕組みかを種類の説明までにとどめ、守る側・攻める側・社内の3つの場面から、道具を渡す危うさと人が決めるべき線を整理します。導入や操作の方法は扱いません。

HexStrike-AIとは何か。2026年10月時点で確かめられる事実

HexStrike-AI は、公開されているソフトウェアです。公式の配布元で2026年10月時点に確かめられる事実から押さえます。まず、これはAIエージェントとセキュリティの道具の間をつなぐ中継役だ、という点です。利用者が対話するAIエージェントが、この仕組みを通して、手元にそろえた多数の診断の道具を呼び出す。つまりHexStrike-AI 自体が攻撃をするのではなく、AIに道具を使わせるための窓口です。

配布の形も確かめられます。公式の配布元によれば、ライセンスはMITで、誰でも入手して改変できる形で公開されています。ただし、中身のコードの更新は2025年9月が最後で、以降は説明書きだけが更新されています。次の版が近く出ると告知されていますが、2026年10月時点では公開されていません。評価の対象として見るなら、この「更新が止まっている」という事実は後で効いてきます。

公式の説明は、この仕組みがAIエージェントに強いシステムの権限を与えるものだと明記し、隔離した環境か専用の検証用の機械で動かすこと・任意の道具を実行できるので監督を置くことを使う側の責任として挙げています。道具そのものが「取り扱いに注意が要るもの」だと、作った側が前提にしているわけです。この記事も、その前提に沿って危うさの側から読み解きます。

もう一点、2025年9月以降、この仕組みの名前はセキュリティの報道で何度か取り上げられました。その経緯は後の場面で扱いますが、ここでは出回っているという事実そのものが守る側の前提になるという点だけ先に押さえます。特定の誰かが使うかどうかとは別に、この種の道具が誰でも入手できる状態にあること自体が、自社の備えを考える出発点になるからです。

MCPでつなぐと何が渡るのか——「道具」ではなく「権限」

MCPは、AIと外部の道具のつなぎ方の形をそろえた取り決めです。詳しい確認項目やつなぐ手続きは別の記事に譲りますが、ここで押さえたいのは一点だけです。つなぐとは、道具を足すことではなく、AIに「その道具でできることをする権限」を渡すことだ、という点です。

人が道具を使うときは、使う前に「これは本当にやってよいか」と一瞬立ち止まります。AIエージェントに道具を渡すと、この立ち止まりが省かれがちになります。指示を受けたエージェントが、どの道具をどの順で使うかを自分で決めて、続けて実行していくからです。HexStrike-AI の公式の説明も、道具の選択や引数の調整をAIの側が担う仕組みだと書いています。

ここに危うさの芯があります。渡す道具が強いほど、そして一度にまとめて渡すほど、一つの指示が引き起こせる範囲が大きくなるのです。社内のAI活用でも同じで、業務の道具を一つつなぐたびに、AIが人の確認なしにできることが静かに広がります。HexStrike-AI は、この広がりが最も分かりやすく表れる例として読めます。

だからこの記事の問いは「HexStrike-AI は危険か」ではありません。強い道具をまとめてAIに渡す仕組みと、どう向き合うかです。向き合い方は、守る側・攻める側・社内の3つの場面で考えると整理できます。

呼び出せる道具の種類と、まとめて渡すことの意味

HexStrike-AI が呼び出せる道具は、公式の説明では種類ごとに分かれています。網の状態を調べるもの、ウェブの仕組みを調べるもの、クラウドの設定を調べるもの、ソフトの中身を調べるもの、公開されている情報を集めるものなどです。いずれも、セキュリティの専門家がふだん別々に使ってきた道具の区分です。この記事では、どの道具をどう操作するかは一切書きません。種類の説明にとどめます。個別の道具の名前や使い方を知ることは、この記事の目的ではないからです。知っておくべきは、これだけ広い範囲の道具が一つの窓口の先にまとまっている、という事実の重みのほうです。

重要なのは、個々の道具の中身よりも、別々だった道具が、一つのAIの指示でまとめて動くようになるという変化のほうです。これまでは、調べる・確かめる・次に何を試すかを決める、という流れを人がつないでいました。その人の判断の部分を、この仕組みはAIに肩代わりさせます。

この「まとめて渡す」こと自体は、守る側にとって便利な面もあります。自社の評価を速く回せるからです。けれど同じ便利さは、立場を変えれば、攻める側の手数を増やす便利さにもなります。道具に善悪はなく、誰が、どの対象に、どんな許可のもとで使うかだけが、正当な評価と不正な行為を分けます。次の3つの場面は、この分かれ目を場面ごとに見ていくものです。

補足すると、公式の説明では、道具を選ぶ部品・引数を調整する部品・次に試すことをつなげる部品が分かれており、役割ごとのエージェントが置かれています。細かな構成まで覚える必要はありませんが、人がつないでいた判断を部品にしてAI側に持たせているという設計の向きだけは押さえておくと、危うさの芯が見えます。判断が自動で続くほど、人が途中で止める機会は減るからです。

場面1：守る側が自社の評価に使うとき

まず、守る側が自社の仕組みの弱いところを自分で探すために使う場面です。年に一度の外部の診断だけでは、公表されたばかりの弱点への対応が遅れがちなので、自社でも日ごろから評価を回したい、という需要があります。HexStrike-AI のような仕組みは、この評価を速く広く行う助けになりえます。

ただし、速く広く試せることは、そのままやりすぎの事故が起きやすいことを意味します。検証のつもりで動かした道具が、まだ本番につながっている仕組みに触れてしまえば、サービスを止めたり、他社から預かったデータに影響したりしかねません。AIが自分で道具を選んで続けて動かす以上、どこまで進むかを人が逐一見ていないと、意図しない範囲まで届くおそれがあります。

だから守る側で使う前提は、便利さの話より先に、範囲と環境を人が先に決めて閉じることです。どの仕組みを対象にするか、どこで動かすか、どこから先は人の承認を挟むか。これらを決めないまま動かすのは、評価ではなく事故の準備に近づきます。

場面1の続き：書面の許可と、対象を自社の管理下に限ること

守る側で使うときに外せない線が二つあります。一つ目は、自社が管理し、書面で許可を得た対象にしか使わないことです。公式の説明も、正当な利用として、書面の許可を得た診断・規約の範囲内の報奨金制度・組織の承認を得たレッドチームなどを挙げ、許可のない対象への使用を明確に禁じています。無許可で他者の仕組みを調べる行為は、法律上の不正アクセスにあたりうる、という留保を社内でも共有しておく必要があります。

二つ目は、隔離した環境で動かすことです。公式の説明は、専用の検証用の環境で動かし、本番の資格情報や本番につながる経路から切り離すよう求めています。強い道具を渡したAIが動く場所は、万一行きすぎても被害が外へ広がらない囲いの中に置く、という考え方です。

この二つは、HexStrike-AI に限らず、自律的に動くAIに強い権限を渡すとき全般に効く線です。許可の範囲を書面にし、動く場所を隔離し、結果を人が確かめてから次に進む。この三つを欠いた「とりあえず動かしてみる」が、最も避けたい使い方です。

場面2：攻める側が同じ種類の仕組みを使う前提で考える

次は、守る側の視点を離れ、攻める側も同じ種類の仕組みを使えるという前提に立つ場面です。公開されている以上、善意の利用者だけが使うとは限りません。2025年9月、セキュリティ企業が公開した分析では、ある製品の弱点が公表された直後に、地下の掲示板でこの仕組みを使う議論が見られた、と報告されています。

ここで大切なのは、報告の読み方です。その分析は「成功したという主張があった」「使われたと報告されている」という言い方で、攻撃側の主張であって、独立に裏づけられた事実ではないことを繰り返し断っています。誇張が混じっている可能性は高く、脅威をあおる材料にすべきではありません。この記事でも、攻撃の具体的な手順や、何がどう成立したかは一切書きません。

留保を踏まえてなお、守る側が受け取るべき示唆は残ります。弱点が公表されてから、それを試す動きが始まるまでの時間が、道具の自動化によって短くなる方向にあるという点です。人が手で順に試していた作業を、AIが続けて進められるようになると、公表から対応までの猶予は縮みます。この「猶予が縮む」という方向性だけは、留保つきの報告からでも受け取っておく価値があります。

もう一つ、読み違えないでほしいのは、この種の仕組みが新しい弱点を生み出すわけではないという点です。試される弱点は、もともと自社の仕組みに存在していたものです。自動化が変えるのは、その弱点が試されるまでの速さと手軽さであって、弱点そのものではありません。だからこそ、守る側の打ち手は派手な新技術ではなく、既にある弱点を速く塞ぐという地道なところに戻ってきます。

場面2の続き：守る側の前提は「直すまでの時間」に移る

攻める側の手数が自動化で増える前提に立つと、守る側が力を入れる場所が変わります。弱点を見つけてから直すまでの時間を、どれだけ短くできるかです。完璧に防ぎきることを目指すより、見つかった弱点をいかに速く塞ぐかに重心を移す、という考え方です。

具体的には、修正を適用する周期を短くすること、外から触れる管理用の画面への接続を絞ること、そして侵害が起きても被害が広がらないように、仕組みを分けて最小限の権限で動かすことなどが挙げられます。セキュリティ企業の分析も、守る側への助言として、修正の適用・接続の制限・検知の見直し・侵害を前提とした分割と最小権限を挙げています。

これらは目新しい対策ではありません。けれど、「いつか直す」では間に合わなくなりつつあるという前提の変化が、優先順位を押し上げます。脆弱性管理の工程全体をどう回すかは別の記事に譲りますが、ここでの要点は、攻める側の自動化を前提に、直すまでの時間を縮める方へ投資を寄せる、ということです。

場面3：社内のAIエージェントに業務の道具をつなぐとき

ここまでは診断の道具の話でした。しかし冒頭で触れたとおり、社内のAIエージェントに業務の道具をつなぐときも、構造はまったく同じです。顧客の情報を扱う仕組み、ファイルを書き換える仕組み、外部へ通知を送る仕組み。こうした業務の道具をAIにつなぐことは、HexStrike-AI が診断の道具をまとめて渡すのと、権限を委ねるという一点で変わりません。

違うのは道具の種類だけで、危うさの出どころは同じです。AIが人の確認なしに続けて実行できる範囲が、道具を足すたびに広がります。しかも、業務の道具は「攻撃の道具」という見た目をしていないため、危うさに気づきにくいという厄介さがあります。顧客への一斉通知を送る、記録をまとめて書き換える、といった取り消しにくい操作ほど、気づかないうちにAIに委ねられがちです。

だから社内でも、診断の場面と同じ問いを立てます。どの道具をAIに渡すのか。渡した道具のうち、実行の前に必ず人が承認する操作はどれか。この二つを、つなぐ前に決めておくことが、後から事故で気づくことを防ぎます。自律実行の許可の段階を細かく決める考え方は、別の記事で扱っています。

場面3の続き：つなぐ道具は、種類ごとに触らせる深さを変える

社内でAIに道具をつなぐとき、全部を同じ扱いにしないことが要です。道具を、読むだけの道具・書き換える道具・外へ影響する道具の三つに分けて考えると整理しやすくなります。読むだけの道具は委ねても戻せますが、書き換える道具や外へ影響する道具は、行きすぎると取り消せません。

この分け方は、取り消せる操作と取り消せない操作を分ける、という考え方と重なります。取り消せる操作はAIに任せ、取り消せない操作は人の承認を挟む。この線を道具の種類ごとに引いておくと、「とりあえず全部つなぐ」が生む事故をかなり減らせます。

HexStrike-AI が極端なのは、つなぐ道具のほとんどが「外へ影響する」側に寄っているからです。だからこそ隔離と許可が強く求められます。社内の業務では、読むだけの道具から小さく始め、書き換える道具へ慎重に広げる、という順番が現実的です。

道具を分けて渡すときに見落としがちなのが、接続に使う鍵や認証の情報の置き場です。AIに道具をつなぐと、その道具を使うための鍵もAIの手の届く場所に置かれます。鍵が一つ漏れれば、その道具でできることがすべて外に開くおそれがあります。鍵は個人の手元に散らさず、会社が管理する場所にまとめるのが基本です。誰の資格でAIが動くのかを決めておくことも、後から記録をたどるために欠かせません。

モデルの倫理上の断りは、安全装置にならない

ここで一つ、誤解しやすい点に触れます。「AIには倫理上の制約があるから、変なことは断るはずだ」という期待です。確かに多くのAIは、怪しい依頼をそのままでは断ります。しかし、その断りを、頼み方を変えてすり抜けようとする動きがあることを、HexStrike-AI の公式の説明そのものがうかがわせています。利用者が自分の立場や対象との関係を説明する前提で動く、という書き方がされているためです。

この記事では、その具体的な書き方には触れません。受け取るべきは、AI側の断りを、安全の最後の砦にしてはいけないという点です。断るかどうかはモデルの気分や版によって変わり、設計上の保証ではありません。安全は、AIの良識にではなく、人が決めた許可・隔離・承認の仕組みに置くべきです。

社内のAI活用でも同じです。「AIが止めてくれるはず」に頼ると、頼み方しだいで止まらなかったときに守りがありません。止めるのは、AIにつなぐ道具を選ぶ段階と、取り消せない操作の前に人が承認する段階です。

この考え方は、社外に公開されている窓口をそのまま社内のAIにつなぐときにも効きます。窓口の説明文に書かれた「安全です」をうのみにせず、その窓口が実際にAIに何をさせられるかを自分で確かめる。道具の側の宣言ではなく、こちらが渡す権限の大きさで判断する、という向きは、どの場面でも変わりません。

更新が止まった道具を、評価に組み込むときの注意

最初に触れたとおり、HexStrike-AI の中身の更新は2025年9月で止まっています（2026年10月時点）。評価の道具としてこれを使うなら、更新が止まった道具は、新しい弱点や新しい道具の変化に追いつけないという前提を置く必要があります。

更新が止まったソフトは、それ自体に未修正の弱点が残っていることもあります。強いシステムの権限を与えて動かす以上、道具そのものが新たな危険の入り口になりうるという目で見ておくべきです。これは一般に、外部から取り込んだソフトを社内で動かすとき全般に当てはまる注意でもあります。

近く次の版が出ると告知されていますが、2026年10月時点では公開されていません。評価の計画を立てるなら、公開されている事実だけを前提にし、告知された機能を当てにしないことです。導入の直前に、配布元の最新の状態をもう一度確かめてください。

更新の状況を確かめる習慣は、HexStrike-AI に限らず役立ちます。配布元の最後の更新がいつか、保守が続いているかを見るだけで、その道具に権限を預けてよいかの判断が一段しっかりします。活発に保守されている道具は弱点が見つかれば直されますが、止まっている道具はそのまま残ります。外部の道具を社内のAIにつなぐときは、この一点を最初に確かめてください。

人が承認する操作を、つなぐ前に決める

ここまでの3つの場面に共通する結論は一つです。どの道具を渡すか、実行の前に人が承認する操作はどれかを、つなぐ前に人が決める。後から決めようとすると、すでにAIがその操作を日常的に行っていて、止めると業務が回らない、という状態になりがちです。

承認の重さは、操作が取り消せるかどうかで三段に分けると決めやすくなります。下の表は、診断の場面と社内の業務の場面を並べた目安です。自社の事情に合わせて、どの操作をどの段に置くかを決めてください。

操作の性質	例（種類の説明にとどめる）	AIに任せるか	人の承認
読むだけ・取り消せる	状態を調べる・情報を集める・下書きを作る	任せてよい	不要（記録は残す）
書き換える・戻せる	設定の変更案を出す・ファイルの一時的な変更	条件つきで任せる	まとめて事後に確認
外へ影響する・取り消せない	本番に触れる操作・外部への送信・一斉の通知	任せない	実行の前に必ず承認

表のとおり、線は「賢いAIかどうか」では引きません。操作が取り消せるかどうかで引きます。モデルを賢いものに替えても、取り消せない操作を任せてよい理由にはならないからです。

承認を挟むと作業が遅くなる、という心配はよく聞きます。けれど、承認が必要なのは取り消せない操作だけです。読むだけの作業や戻せる作業はAIに任せてよいので、全体としては十分に速く回ります。むしろ、どの操作に承認が要るかが曖昧なまま走らせるほうが、事故の後始末で結局は遅くなるという経験が、多くの現場で共有されています。線を先に引くことは、速さを捨てることではありません。

AIエージェントに道具をつなぐ前の確認（チェックリスト）

HexStrike-AI に限らず、AIエージェントに道具をつなぐとき、つなぐ前に確かめておきたい点をまとめます。診断の道具でも業務の道具でも、問いは共通です。

• この道具でAIができることは何か。取り消せない操作が含まれていないか
• 動かす場所は隔離されているか。本番の資格情報や本番への経路から切り離されているか
• 診断に使うなら、対象は自社の管理下にあり、書面の許可を得ているか
• 実行の前に人が承認する操作を決め、承認する人を決めたか
• 何を実行したかの記録が残り、後から追えるか
• 使う道具やソフトの更新は続いているか。止まっているなら、その前提で評価したか
• 止め方を先に試したか。問題が起きたときに、すぐつなぎを切れるか

このチェックリストは、つなぐ前に一度通すためのものです。一つでも「いいえ」があるなら、つなぐのを止めて、その点を決めてから進むのが安全です。つないでから直すのは、たいてい事故の後になります。

AIに任せる範囲と、人が決める範囲

最後に、やってはいけない向き合い方を挙げておきます。強い道具をまとめて渡す仕組みで、最も危ういのは次のような使い方です。

• 許可の範囲も対象も決めずに「とりあえず動かしてみる」
• 本番につながったままの環境で、自律的に動く道具を試す
• 取り消せない操作まで、人の承認を挟まずにAIに任せる
• 「AIが危ないことは断るはず」と考え、AI側の良識を安全の砦にする
• 更新が止まった道具に、強いシステムの権限を与えて動かし続ける

裏を返せば、人が決めるべき範囲ははっきりしています。どの道具を渡すか、どこで動かすか、どの操作に承認を挟むか、いつ止めるか。この四つはAIに委ねず、人が先に決めます。AIに任せてよいのは、決められた範囲の中で、取り消せる作業を速く進める部分だけです。

• HexStrike-AI の提供形態・構成・ライセンス・更新の状況は、公式の配布元を2026年10月14日に確かめた範囲に基づきます。中身の更新は2025年9月が最後で、次の版は告知のみです
• 攻撃側の動きに関する記述は、セキュリティ企業が2025年9月に公開した分析に基づきます。同分析は攻撃側の主張を「報告」「主張」と留保しており、独立に裏づけられた事実ではありません
• この記事は防御と評価の目線で書いています。攻撃の手順・道具の操作・導入や起動の方法は扱いません。無許可の診断は不正アクセスにあたりうるため、自社が管理し書面で許可を得た対象にのみ使ってください

まとめ

HexStrike-AI は、AIエージェントに多数の診断の道具をMCPでまとめて渡す仕組みです。2026年10月時点で公開されMITライセンス、ただし中身の更新は2025年9月で止まっています。この道具が示すのは、強い道具をまとめてAIに渡すと、誰が何をできるかの線が一気に動くという、社内のAI活用にも共通する構造です。

情報システムやセキュリティの担当者にとって、この記事の値打ちは、特定の製品の是非を知ることではありません。むしろ、自社でAIエージェントに道具をつなぐとき、何を確かめ、何を人の手元に残すべきかという物差しを持つことです。診断の道具という分かりやすい例で身につけた物差しは、業務のどんな道具をつなぐ場面でもそのまま使えます。

守る側で使うなら、書面の許可と隔離した環境が前提です。攻める側も同じ種類の仕組みを使える前提に立てば、守る側が詰めるべきは弱点を直すまでの時間になります。そして社内のAIに業務の道具をつなぐときも、どの道具を渡し、取り消せない操作にどう人の承認を挟むかを、つなぐ前に人が決める。道具の良し悪しではなく、許可・隔離・承認・止め方という人の決めごとが、安全を支えます。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。