WhatsAppの履歴をAIに読ませるOSS「whatsapp-mcp」の仕組みと導入前の注意点

「海外の取引先とのやり取りが WhatsApp に散らばっていて、あとから探すのが大変だ。AIに読ませて要約させられたら楽なのに」「社員が私用のメッセージアプリをAIエージェントにつないでいるらしいが、何が起きうるのか見当がつかない」——海外とのやり取りが多い部署と、それを見守る情報システム部門の両方から聞こえてくる声です。便利な個人向けの道具の話に見えますが、そうではありません。本当は、会社の管理の外で、私的なメッセージの全履歴とAIエージェントが直結するという、シャドーAI（会社が把握していないAIの利用）の新しい形が問われています。この記事では、自分の WhatsApp のメッセージをAIエージェントに読ませるOSS「whatsapp-mcp」について、一次情報で確かめられる仕組み、非公式の接続という注意点、企業から見たリスクと備えを整理します。導入や設定の手順は扱いません。

whatsapp-mcpとは何か。2026年10月時点で確かめられる事実

whatsapp-mcp は、GitHub上で公開されているOSSです。リポジトリの説明は、自分の WhatsApp のメッセージをAIエージェントに検索させ、読ませるための読み取り専用のMCPサーバーだとしています。MCP（AIと外部の道具をつなぐ共通の取り決め）に対応したAIの道具であれば、この仕組みを通じてチャットを探したり読んだりできます。READMEは対応する道具の例として、Claude Code などを挙げています。

公開の時期と規模も確かめておきます。リポジトリが作られたのは2026年10月18日で、最後の更新は10月19日です。2026年10月22日時点で、スターは318、複製（フォーク）は26、記録された変更（コミット）は6件です。公開済みの版（リリース）はなく、設定のファイルに書かれた版は0.0.1です。スターの伸びは1日あたりおよそ80で、公開から数日で注目を集めた、ごく若いOSSだといえます。

作者は個人のアカウントで、アカウントの作成は2011年5月、公開しているリポジトリは86、フォロワーは19です。所属する会社や運営の団体の名前は確認できませんでした。ライセンスはMITで、OSI（オープンソースの定義を管理する団体）が承認したライセンスです。確認した範囲では、脆弱性の報告の窓口を定めた方針の文書や、公開済みのセキュリティ勧告は見当たりませんでした。

なぜ今、私的なメッセージをAIに読ませる道具が注目されるのか

READMEは、使い道の例として「旅行の便について誰が何と言ったか」「すべてのチャットから、賃貸の契約に触れたメッセージを探す」「家族のグループで今週見逃した内容を要約する」といった問いかけを挙げています。散らばった会話を横断して探し、要約させるという需要は、AIエージェントが日常の道具になるほど強まります。

一方で、READMEは、WhatsApp には自分の個人のメッセージを読むための公式の窓口（API、つまりプログラムから機能を呼び出す入口）がないと書いています。公式の手段がない以上、使いたい人は非公式の手段に向かいます。メールや社内のチャットにはAIとつなぐ公式の連携が増えてきましたが、私的なメッセージアプリは、公式の連携がないまま個人の工夫でつながれやすい領域です。

この種の道具が増えると、企業の側では見えにくい情報の流れが生まれます。メールや社内のチャットであれば、会社が契約した仕組みの中で記録や管理が効きます。私用のメッセージアプリを個人のクラウドの区画経由でAIにつなぐ流れは、会社の記録にも管理にも乗らないのが普通です。whatsapp-mcp は、その流れを数分の作業で作れる道具の一例として注目に値します。

仕組み1：スマートフォンにつながる「もう一台の端末」として働く

READMEによると、whatsapp-mcp は、WhatsApp の「リンク済みの端末」として働きます。ブラウザー版の WhatsApp を使うときと同じように、一度スマートフォンと結びつけると、以後はこの仕組みが新しい端末として扱われます。スマートフォンが情報の大元であることは変わらず、スマートフォンは通常どおり通知を受け取り続けるとされています。

この仕組みは、常に WhatsApp につながっているわけではありません。READMEの説明では、AIエージェントから求められたときと、1日に1回の決まった時刻に接続し、前回から届いていたメッセージを受け取って自分のデータベースに書き込み、接続を切ります。また、読む機能を使うときに、保存した写しが10分より古ければ、先に新しいメッセージを取り込む作りです。

ここで押さえておきたいのは、結びつけた時点で、この仕組みはアカウントにログインした状態を保ち続けるという点です。READMEも、一つの導入先にはすべての履歴と、アカウントへの生きたログインが置かれると明記しています。READMEが一人で一つの導入先を持つよう求めているのは、この重さのためだと説明されています。

仕組み2：利用者自身のクラウドの区画に履歴をためる

whatsapp-mcp は、利用者自身の Cloudflare（ウェブの配信やサーバーの処理を提供する事業者）のアカウントの中で動きます。READMEによると、メッセージは利用者のアカウントの中の保存の区画にある小型のデータベースに置かれ、ほかのどこにも送られないと説明されています。作者の側のサーバーを経由する作りではありません。

AIの道具からこの仕組みにつなぐときは、所有者であることを確かめる手続き（OAuth という、利用の許可を安全に受け渡す方式）を通ります。READMEによると、所有者の確かめ方は、12文字以上の合言葉か、外部のログインの仕組みのどちらかです。履歴の量が多い場合の最初の取り込みには計算の上限を引き上げる必要があり、そのために月に数ドルの有料のプランが必要だとされています。

加えて、READMEには、不具合を調べるための窓口があることも書かれています。既定では無効で、暗証の設定をしたときだけ有効になり、有効にすると、接続の状態や保存の件数、最近の出来事を確かめたり、保存したデータを読み出す問い合わせを一つずつ実行したりできるとされています。便利な調査の窓口は、設定を誤れば履歴への別の入り口にもなるため、導入する人が意図して扱うべき部分です。

AIエージェントに渡される機能：読む・探す・名前を付ける

READMEによると、AIエージェントが使える機能は八つです。チャットの一覧を新しい順に出す、一つのチャットを日付で前後にたどって読む、すべてのチャットを対象に全文を検索する、の三つが読む・探すための中心の機能です。ほかに、電話番号でしか分からないチャットを一覧にする、電話番号に名前を付けて保存する、すぐに新しいメッセージを取り込む、接続の状態を確かめる、結びつけをやり直す、があります。

作者は、送信はできないとはっきり書いています。読み取り専用に絞ったことで、AIエージェントが誤って誰かにメッセージを送る、といった事故は起きない作りです。これは守りの面で評価できる設計です。

注意したいのは、名前を付ける機能の使われ方です。READMEによると、WhatsApp はリンク済みの端末にすべての連絡先の名前を渡さないため、一部のチャットは電話番号で表示されます。そこで、AIエージェントが別に持っている連絡先の道具（Googleの連絡先や Gmail の連携など）で番号を照らし合わせ、名前を保存する流れが想定されています。この仕組みが出す指示文や、見つからなかったときの返答にも、その流れへ誘う一言が入っていると書かれています。一つの道具が、AIエージェントを別の道具の利用へ導く作りであることは、企業から見て覚えておくべき特徴です。

読めないもの・取り込まれないもの

READMEは、取り込める範囲の限界も書いています。最初に結びつけたときに取り込まれるのは、WhatsApp が新しい端末に渡すと決めた分の履歴で、すべての履歴とは限らないとされています。この取り込みは結びつけ1回につき1度だけで、取り込み直すには結びつけをやり直します。

写真・音声・文書は取り込まれません。READMEによると、それらは「画像」「12秒の音声」のような目印と、付いていれば説明文だけが残り、音声の文字起こしもしません。つまり、AIエージェントに渡るのは主に文章のメッセージです。添付の資料の中身までは読まれない一方、文章で書かれた取引の条件や連絡先は、そのまま検索の対象になるということでもあります。

保存したデータの消し方について、確認した範囲のREADMEには、結びつけのやり直しでも保存済みのメッセージは残ると書かれています。すべての保存データを消す手順の説明は見当たりませんでした。やめるときに何が残るかは、導入する前に確かめておくべき点です。社員が退職や異動のときに個人のクラウドの区画に履歴を残したままになる、といった事態も推測されます。

比べる表：メッセージをAIに読ませる手段の違い

メッセージの履歴をAIで扱う手段はいくつか考えられます。防御の担当者に関係する観点に絞って、whatsapp-mcp のような非公式の接続と、ほかの手段の違いを並べます。whatsapp-mcp 以外の欄は一般的な傾向で、製品や契約によって違います。

観点	非公式の接続（whatsapp-mcp）	会社が契約したチャットの公式のAI連携	履歴を書き出してAIに貼り付ける
接続の正当性	公式の窓口ではない。READMEは利用規約に反すると認める	提供元が認めた連携	提供元の書き出しの機能を使う
データの置き場所	利用者個人のクラウドの区画	契約した提供元	貼り付け先のAIのサービス
会社から見えるか	見えにくい	管理画面や記録で見える	見えにくい
読める範囲	取り込んだ全履歴を継続的に検索できる	契約と設定の範囲	書き出した分だけ
外からの指示の混入	届いたメッセージがそのままAIに渡る	同じ危険はあるが、提供元の対策や記録がある	貼り付けた文章に含まれる
やめるときの後始末	個人の区画に履歴が残りうる	契約の手続きで管理できる	貼り付け先の保存の扱いによる

表から分かるのは、危険の大きさを分けるのは道具の出来よりも、会社から見えるかどうかだという点です。whatsapp-mcp は作りとしては控えめでも、会社の管理の外で全履歴を継続的にAIへつなぐ点で、ほかの手段とは性質が違います。

安全性の評価：注意付きとした根拠

このラインでは、OSSを取得・導入・実行せず、公開されている情報と精査の記録をもとに安全性を判定しています。whatsapp-mcp の判定は「注意付き」です。根拠は次の三点です。

一つ目は、パッケージを入れたときに自動で動く処理があることです。設定のファイルには、導入の直後に自動で実行される処理が登録されています。公開されている中身を読んだ範囲では、この処理は、依存する部品に含まれる実行用のデータを取り出して別のフォルダに書き出すもので、通信や別のプログラムの起動は見当たりませんでした。ただし、自動で動く処理は、依存する部品が書き換えられた場合などに影響が広がりやすい場所です。二つ目は、実績が外から確かめにくいことです。リポジトリは作成から4日で、作者のフォロワーは19、運営の団体も確認できません。三つ目は、私的なメッセージという極めて機微な情報をAIに読ませる用途であることです。

一方で、ライセンスはOSI承認のMITで、公開済みのセキュリティ勧告もありません。アカウントは長く使われているもので、スターの伸びも精査の基準で不自然とする水準ではありませんでした。送信をできなくしている点や、データを作者の側に送らない点も、設計として筋が通っています。ただし、問題が見つからなかったことは安全の保証ではありません。公開から日が浅く、外部の目に十分触れていない段階だと考えるのが妥当です。

非公式の接続と利用規約という注意点

whatsapp-mcp を検討するうえで最も重い注意点は、接続が公式のものではないことです。READMEは、この仕組みがブラウザー版の WhatsApp と同じ通信の取り決めを、オープンソースの部品（Baileys）を通じて使っていると説明し、それは WhatsApp の利用規約に反すると自ら書いています。そのうえで、読むだけのリンク済みの端末なら実際の危険は低いが、ゼロではないとしています。

WhatsApp の利用規約は、自動化その他の手段によるサービスへのアクセスや、許可されていない方法での利用者の情報の収集などを禁じる項目を設けています。規約に反した利用がアカウントにどう扱われるかは、確認した一次情報からは分かりません。アカウントの停止などの不利益が起きる可能性は否定できないと考えておくべきです。業務の連絡に使っているアカウントであれば、その影響は個人にとどまりません。

使われている部品の Baileys も、WhatsApp とは提携しておらず、認められたものでもないと明記しています。同じ部品の利用者に対して、利用規約に反する使い方を認めないこと、迷惑な送信や、相手に知られずに監視する使い方（ストーカーウェア）をしないことを求めています。さらに、whatsapp-mcp は Baileys の正式版の前の版を固定して使っており、作者も変更の多い段階の部品だと書いています。非公式の部品の変更に追随できるかは、一人の作者の手に委ねられているのが現状です。

企業から見たリスク1：シャドーAIと情報の持ち出し

企業にとっての第一の論点は、シャドーAIによる情報の持ち出しです。社員が私用のアカウントで取引先とやり取りしている場合、その履歴には価格や納期、担当者の連絡先といった業務の情報が含まれます。whatsapp-mcp を使うと、その全履歴が社員個人のクラウドの区画に写され、AIエージェントから検索できる状態になります。

さらに、AIエージェントは読んだ内容を、利用者が使っている生成AIのサービスへ送って処理します。README自体は「ほかのどこにも送られない」と書いていますが、これは whatsapp-mcp の保存の区画の話です。AIエージェントが読んだ時点で、その内容は生成AIのサービスに渡ることは、仕組みの性質上避けられません。どのサービスにどんな条件で渡るかは、利用者が選んだAIの道具によって変わります。

会社の端末で使われる場合も、私物の端末で使われる場合も、会社の管理画面には何も現れないのが普通です。名前を付ける機能が、別の連絡先の道具の利用へAIエージェントを導く点も見落とせません。一つの道具をつないだことで、別の道具の情報まで同じAIの手元に集まることが起こりえます。会社の Gmail や連絡先の連携をAIエージェントにつないでいる社員なら、私的なメッセージと会社の連絡先が同じ場所で照らし合わされることになります。

悪用されうるリスク：届いたメッセージに紛れ込む指示と乗っ取り

第二の論点は、紛れ込んだ指示（プロンプトインジェクション。読ませた文章に仕込まれた指示にAIが従ってしまう攻撃）です。OWASP（ウェブの安全性に関する国際的な非営利の団体）は、言語モデルを使う仕組みの主要な危険の一覧で、これを最初の項目に挙げています。WhatsApp では、電話番号を知っている人なら誰でも、利用者にメッセージを送れるのが基本です。READMEも、電話番号で表示されるチャットの多くは保存していない相手からの一度きりのメッセージだと書いています。

つまり、見知らぬ相手から届いた文章が、そのままAIエージェントの読む材料になります。whatsapp-mcp 自体は送信できませんが、AIエージェントはほかの道具も持っているのが普通です。届いた文章に紛れた指示にAIエージェントが従えば、メールの送信や文書の共有など、別の道具を使って情報を外へ出すといった事態が起こりうると推測されます。現時点で、この道具を使った具体的な被害の報告は確認できていません。

もう一つは、仕組みそのものが狙われる危険です。保存の区画には全履歴とアカウントへのログインが置かれ、合言葉が漏れれば外部から履歴を読まれる可能性があります。調査の窓口を有効にしたまま暗証の管理が甘ければ、そこも入り口になりえます。読み取り専用であることは、読まれる危険が小さいことを意味しません。私的な履歴の保管庫として、重要な仕組みと同じ水準で守る必要があります。

日本企業にとっての意味：利用者が少ないからこそ見落とす経路

日本では、私的なメッセージのやり取りには LINE が広く使われ、WhatsApp の利用者は比較的少ないとされます。そのため、WhatsApp をめぐる道具は自社には関係が薄いと受け取られがちです。しかし、海外の取引先や現地の拠点とのやり取りでは WhatsApp が使われる場面があると考えられ、使っている部署が限られるからこそ、会社の規程の想定から漏れやすいという面があります。

また、whatsapp-mcp が示しているのは、特定のアプリの話ではなく、私的なメッセージアプリをAIエージェントにつなぐ道具の一つの型です。同じ考え方の道具は、ほかのメッセージアプリでも作られうると考えるべきです。社内の規程を作るときは、アプリの名前を一つずつ挙げるのではなく、私的な連絡の手段の履歴を、会社の管理外のAIにつなぐことという行為の単位で扱うほうが、抜けが少なくなります。

海外の拠点を持つ企業では、現地で業務の連絡に WhatsApp が使われているかどうかを、まず把握するところから始めるのが現実的です。業務の連絡に使っているなら、AIにつなぐ以前に、記録の保存や退職時の引き継ぎといった基本の管理が整っているかも確かめる必要があります。

導入を検討するときに確かめること

個人として使うにせよ、会社として検討するにせよ、whatsapp-mcp のような道具を使う前に、少なくとも次の順で確かめておくと、後からの手戻りを防げます。

企業が取るべき対策

whatsapp-mcp を名指しで禁じるだけでは、同じ型の別の道具に置き換わるだけです。企業が取るべき対策は、行為の単位で考えます。第一に、私的な連絡手段の履歴を、会社の承認していないAIにつなぐことの扱いを、AI利用の規程に書き込むことです。業務の情報が含まれる履歴を対象に含めるかどうかを、明確にします。

第二に、業務の連絡に使う手段を会社が用意し、記録や管理が効く形に寄せることです。海外の取引先との連絡で私用のアプリが使われているなら、その実態を把握したうえで、会社が管理できる手段に移すか、例外として扱う条件を決めます。第三に、AIエージェントにつなぐ道具は、会社として認めたものの一覧で管理し、外部の文章を読む道具と、外へ送る道具を同じAIエージェントに持たせないことを原則にします。

第四に、会社の端末では、導入時に自動で処理が動くパッケージや、外部のクラウドの区画へつなぐ設定を、ソフトウェアの審査の対象に含めます。第五に、社員への教育で、読み取り専用の道具でも、読んだ内容は生成AIに渡り、届いた文章の指示に従う危険があることを、具体的な場面とともに伝えます。禁止の理由が伝わっていれば、社員が自分で相談に来るきっかけにもなります。

AIに任せる範囲と、人が決める範囲

whatsapp-mcp のような道具では、AIエージェントが履歴を読み、要約し、名前を照らし合わせます。便利な作業ですが、どの履歴を読ませてよいか、読んだ結果で何をしてよいかの判断を、AIに委ねてはいけません。届いたメッセージは誰が書いたか分からない外部の文章であり、AIはその中の指示と利用者の指示を見分けられないことがあります。

人が決めるのは、つないでよい情報の範囲、AIエージェントに持たせてよい道具の組み合わせ、要約や検索の結果をもとに取ってよい行動の範囲です。要約を使うときは、AIに根拠となったメッセージを示させ、元の文章を人が確かめることを手順に入れます。人が確認する範囲は、使い始める前に決めておきます。避けたい使い方を挙げます。

• 取引先とのやり取りを含む私用のアカウントを、会社に相談せずにAIエージェントへつなぐ
• 読み取り専用だから安全だと考え、メールの送信や文書の共有ができる道具と同じAIエージェントに持たせる
• 見知らぬ相手から届いたメッセージの要約を、元の文章を確かめずに業務の判断に使う
• AIエージェントが勧めるままに、会社の連絡先の連携を私的な履歴の名前付けに使わせる
• やめるときや退職時に、個人のクラウドの区画に残った履歴をそのままにする

AIに読ませる範囲を広げるほど、人が決めておくべきことも増えます。便利さを受け取る前に、線を引く人と確かめる人を決めておくことが、私的な情報とAIを付き合わせるときの前提です。

よくある質問：読み取り専用なら会社として問題はないのか

読み取り専用であることは、誤送信の事故を防ぐ点では意味があります。しかし、企業にとっての主な論点は、情報が会社の管理外へ写されることと、読んだ文章に紛れた指示です。どちらも、送信ができないことでは防げません。読み取り専用は安全の一部であって、全部ではありません。

では、私物の端末で個人が使う分には会社と無関係かといえば、履歴に業務の情報が含まれる限りそうとはいえません。私物か会社の端末かよりも、どんな情報が、誰の管理する場所に、どのAIを通って流れるかで判断するのが筋です。業務の情報を含まない純粋に私的な利用であれば、会社が立ち入る範囲ではないという整理もありえます。その線引きも、規程で明確にしておくと混乱を防げます。

• whatsapp-mcp の機能・仕組み・注意書きは、GitHubのリポジトリ（README・設定のファイル・導入時に自動で動く処理のファイル）を2026年10月22日に確かめた範囲に基づきます。公開から数日のOSSで、内容は変わる可能性があります
• 利用規約に反した場合のアカウントの扱い、すべての保存データを消す手順、日本での利用者の規模は、確認した一次情報の範囲では確かめられませんでした
• この記事は守りと評価の目線で書いています。導入・設定・実行の手順は扱いません

まとめ

whatsapp-mcp は、利用者自身のクラウドの区画で動き、WhatsApp のリンク済みの端末として履歴を取り込み、AIエージェントに検索・閲覧させる読み取り専用のOSSです。送信をできなくし、データを作者の側に送らない設計には、作り手なりの配慮が見られます。

一方で、接続は非公式で、READMEも利用規約に反すると認めています。公開から数日で実績は乏しく、導入時に自動で動く処理もあります。企業から見れば、会社の管理外で私的な履歴とAIエージェントが直結し、届いたメッセージに紛れた指示が別の道具を動かしうる点が本当の論点です。行為の単位で規程を整え、AIエージェントに持たせる道具の組み合わせを管理し、読ませる範囲を人が先に決めることが、この種の道具との現実的な付き合い方です。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。