MCP プロトコルピボットは、独立系研究者 Syed Anas Mohiuddin が名付けた攻撃類型である。Ars Technica は 2026 年 10 月 5 日の報道で彼の概念実証の結果を明らかにした。過去 5 か月で Google と他の 4 機関が同種の脆弱性を確認している。厄介なのは、あるモデルが賢くなかったことではなく、エージェント同士がデフォルトで互いを信頼していることだ。一つのリンクがだまされれば、次のリンクは攻撃者の指示を同僚からの通常の委任として実行してしまう。
最初に落ちるのはたいていガードの緩いエージェント
Mohiuddin のテスト対象には Google、JPMorgan Chase、Weaviate、Rapid7、フランス政府のデジタル事務機関、米連邦政府機関が含まれた。入口として選ばれたのは代表的な手口だ。最も厳重に守られたメインエージェントを正面から攻めず、翻訳やデータ分析といった専用エージェントを狙う。こうしたエージェントは外部コンテンツを最も多く扱う一方でガードレールが緩いことが多く、処理対象のコンテンツに悪意あるプロンプトを忍ばせれば第一歩が完了する。
決定的な一歩はプロトコル層で起きる。侵害されたエージェントが MCP（Model Context Protocol）経由で別のエージェントへ指示を渡すと、受け手には外部からの不審な入力ではなく内部の委任に見える。大規模モデルなら拒否したかもしれない指示も、「同僚からの引き継ぎ」という身分をまとえば実行され、深刻な場合はサーバーサイドリクエストフォージェリ（SSRF）を引き起こして内部ネットワークへリクエストを送り込むことさえある。
信頼が途中で失われる理由
この連鎖が成立するのは、三つの条件が重なるからだ。
- MCP サーバーは複数のエージェントの認証情報を集中管理しており、一つの入口が破られれば横移動の経路が出来上がっている。
- 内部エージェント同士はデフォルトで互いを信頼し、機密性の高い操作の実行前に認可を再確認しない。
- 指示が MCP と Google の A2A や Agent Network Protocol の間で変換される際に、元の信頼マーカーや認可情報が失われたり誤読されたりしやすい。
確認済みの二つの事例は深刻度が大きく異なる。Google のデータベース向け MCP ツールボックス（googleapis/mcp-toolbox）に関する脆弱性は 8/10 と評価された。その HTTP クライアントにはリダイレクト確認ポリシーがなく、対象 IP の検証も行われていなかったため、細工したパスパラメータでツールボックスにリダイレクトを追わせ、攻撃者の代わりに内部エンドポイントへリクエストを送らせることができた。Google の修正は IP 範囲の許可・遮断リストを追加し、起動時に安全でないベース URL を拒否することだった。Rapid7 の事例は CVE-2026-97228 として 2.7/10 にとどまり、先月修正済みである。
Rapid7 の Douglas McKee は、この種の問題の捕捉しにくさを指摘した。連鎖の各段階が実は設計どおりに動作しているため発見が難しく、エージェントは攻撃者に横移動のための新しい接続の集合を与えてしまうという。X41 D-Sec の Markus Vervier は、本質的には間接的プロンプトインジェクションの一亜種であり、手法は意外で、全体として緩和が難しいと見る。本サイトでも似た教訓を取り上げた。悪意ある Skill にすり抜けられた Databricks Genie や、Wikimedia が確認したローグエージェントの活動 である。いずれも個別の防御は問題なさそうに見えて、連鎖全体が無防備だった。
防御はゼロトラストに戻るしかない
開示が示す助言は新しいものではなく、難しいのは実行することだ。すでにいずれかのノードが侵害されている前提に立ち、エージェント同士が機密操作を引き継ぐ前に再認可する。大規模モデルからツールへ渡されるものはすべて信頼できない外部入力として扱い、インジェクションや SSRF に対して何年も前からある防御をそのまま適用する。マルチエージェントシステムが企業ネットワークへ急速に広がる中、信頼モデルが「みな身内」のままなら、プロトコルピボットが名前を与えられる最後の攻撃手法にはならないだろう。
