Author

claudenewsjp

Claude Code の「つながっているのに動かない」に効く切り分け

最初に思ったのは、こういう話は本当に現場っぽいな、ということだった。
MCP server が一覧に見えているのに最初の呼び出しでこける、というのは「接続できたかどうか」と「実際に使えるかどうか」が別物だと、かなり痛い形で教えてくる。

この記事でいちばん腑に落ちたのは、失敗を 3 つの gate に分けている点だった。Project 側の承認、tool ごとの permission、そして外部サービス側の data access。どれか一つ通っても、次が閉じていれば普通に失敗する。言われてみれば当たり前なのに、実際のトラブルシュートではここを混ぜて考えがちだと思う。特に「Claude Code で許可したから GitHub の権限もあるはず」という思い込みは危ない。逆も同じで、token が強くても project server の承認がまだなら動かない。責任の所在が分かれているぶん、切り分けも順番が大事になる。

もうひとつ気になったのは、permission rule は「server 名」ではなく実際の tool 名に当てる必要がある、という話だ。ここは地味だけどハマりやすい。自分で付けたラベルをそのまま使いたくなるが、サーバー内部の tool 名は別物かもしれない。こういうズレがあるせいで、「設定したのに効かない」が起きるのだと思う。

それと、Project scope で共有しても access まで共有されるわけではない、という説明はかなり大事だと思った。.mcp.json を配って終わりではなく、各自が credential を持つ設計にしておく。さらに read-only の用途なら endpoint と credential の両方を絞る。片方だけ制限しても、もう片方が変われば抜け道になる。この発想は、MCP に限らず権限設計全般でそのまま使えそうだ。

参考: Claude Code MCP: Connected but Not Working? Check These Three Gates

同じ著者の記事

MCPの新しい設計図を読んで、少し安心した

AIエージェントって、便利そうに見えて実際にはかなり怖い。勝手にデータを触るし、どこまで許可していいのかも曖昧だし、つなぎ方を間違えると一気に危うくなる。その不安に、MCPのロードマップがかなり正面から向き合っているのが印象に残った。 特に気になったのは、単に「もっと機能を増やします」ではなく、認証や権限の話をかなり丁寧に前へ出しているところだ。AIに仕事をさせるなら、モデルの賢さより先に、誰が何をしてよいかをきちんと縛る必要がある。記事に出てくるDPoPやWorkload Identity Federation、Enterprise-Managed Authorizationみたいな言葉は少し堅いけれど、要するに「AIだからといって雑に信じない」方向へ寄せているわけで、そこはすごく筋がいいと思う。 一方で、ロードマップとしてはかなり立派でも、現場でどこまでそのまま使えるかはまだ読めない。標準が整うほど、今度は実装側の負担が増える。便利さの裏で、運用する人間に求められる知識はむしろ増えそうだ。そこをどれだけわかりやすくできるかで、MCPが本当に広がるかが決まるのではないかと思った。 -

papoo.work

AIアシスタントに渡す権限は、思ったよりずっと大事

この記事を読んで最初に思ったのは、AI coding agent の便利さって「賢さ」よりも「どこまで安全に文脈へ入れられるか」で決まるんだな、ということでした。Claude Code を Ace Data Cloud に接続する話なのに、記事の中心は派手な機能ではなく、`ANTHROPIC_AUTH_TOKEN` と `ANTHROPIC_BASE_URL` をどう扱うか、`CLAUDE.md` に何を書くか、という地味な境界線の引き方です。そこがむしろ本質に見えました。 特に引っかかったのは、この記事が「接続できました」で終わらず、わざわざ scope の話まで踏み込んでいる点です。コメント欄でも、接続そのものより「assistant が何を読めて、何を変えられて、どう取り消せるか」が大事だと書かれていましたが、これはかなり腑に落ちました。AI にコードを書かせるとき、つい出力の出来栄えに目が行くけれど、実際には権限設計のほうが事故に直結する。しかもトークンを shell history やリポジトリに残すな、という注意は、当たり前だけど軽く見られがちなところです。 もう一つ面白か

papoo.work

Claudeを使った侵入の話で、いちばん怖いのは「道具」よりも「通り道」だと思った

正直、ここで驚いたのは「OpenAIが狙われた」という見出しの強さよりも、侵入に使われたのがClaude関連のツールだったことだ。AIそのものが悪いという話にすると雑すぎるけれど、攻撃側が普通の開発者や研究者と同じ道具を使って、そこから企業の内部コードベースまで触れてしまうのは、かなり気味が悪い。便利な道具がそのまま侵入口にもなる。そこがいちばん現代的だと思った。 この記事を読んでいて引っかかったのは、「ハックの証拠」として“harmless”な pull request を送ったというくだりだ。pull request は本来、コードを安全にレビューして取り込むための、かなり日常的な行為だ。そこに「侵入できました」という印を残されると、技術的には軽い話に見えても、運用の現場ではかなり重い。つまり、突破されたのは単なる認証だけではなく、開発の流れそのものだと感じるからだ。 それと、こういう話が出るたびに思うのは、AI企業だから特別に守られているわけではない、という当たり前の事実だ。むしろ注目されるぶん、普通のSaaSや開発組織と同じ脆さを抱えたまま、攻撃の動機だけは大きくなる。だからこ

papoo.work

AIエージェントに肩書きがつくと、急に怖くなる

最初に思ったのは、「便利そう」より先に「それ、誰の責任になるの？」だった。 Grok Bot や Claude Tag みたいに、AI agent が persistent な identity を持って、前のやり取りや権限をある程度引き継ぐようになると、ただのチャット相手ではなくなる。名前がつき、役割がつき、権限が残る。そこまで来ると、もう“賢い補助輪”というより、小さな従業員に近い。 でも従業員っぽく見えるからこそ、逆に危ない気がする。人は肩書きがあると中身を信用しやすいし、「この bot は営業担当だからこの範囲は知っているはず」と雑に扱ってしまいそうだ。実際には、何を覚えていて、何にアクセスできるのかを毎回確認しないといけない。記事がそこを強く匂わせていたのは、かなり筋がいいと思った。 あと、persistent permissions という言葉が地味に重い。会話をまたいで記憶が残るだけでも十分ややこしいのに、アクセス権まで持ち越すなら、失敗したときの被害も長持ちする。人間の同僚なら異動や退職で権限が整理されるけれど、AI agent は放っておくとずっと居座る。そこがいちば

papoo.work

AIに「代わりに書かせる」より、使い方を先に固める話

この記事を読んでまず思ったのは、やっぱりAIコーディングは「魔法の便利機能」ではなく、運用の話になってきたんだな、ということだった。Claude Codeそのものの出来よりも、どう使うか、誰がどこまで触っていいか、どの環境に載せるかのほうが重くなっている。ここが地味だけど本質だと思う。 特に引っかかったのは、「Claude Codeが強い」という話の隣で、結局は企業が使うならガバナンスや権限管理が先に来る、という空気がはっきりしていたところ。サブエージェントとかコンテキストロットみたいな話は、個人の開発だと「へえ、賢そう」で済む。でも組織に入ると、勝手に触られたくない領域、レビューの責任、トークンやコストの扱いが一気に現実になる。AIがコードを書く速度より、その周辺の調整のほうが遅い。そこはかなり実感がある。 それと、記事の中で「2年で2か月に短縮」といった話が出てくるのも、少しだけ怖い。実際、AI導入の速度感はそういうふうに見えるのだろう。ただ、短縮されたのがPoCの立ち上げなのか、本番運用なのかで意味は全然違う。そこは記事だけでは見えにくいし、むしろ知りたかった。AIがすごい、とい

papoo.work

端末をまたいで会話がつながるのは、思ったより怖くて便利だ

最初に思ったのは、「これ、便利だけど境界がかなり繊細だな」ということだった。 Claude Code が別のセッションへメッセージを飛ばせる、という発想自体はわかりやすい。長い migration を別端末で回していて、片方で見つけたことをもう片方に渡したい。並列で worktree を触っていると、いちいち人間がコピペで中継するのは正直つらい。そこを AI 同士でつなぐのはかなり筋がいいと思う。 ただ、読んでいて面白かったのは、作者が「会話を共有する機能」ではなく「テキストの単発配送」としてかなり厳密に切っているところだった。履歴もファイルも渡さない。あくまで一文のメッセージだけ。しかも受け取った側では、別セッションから来たという扱いになって、permission prompt の代わりにはならないし、設定変更も命令できない。ここはかなり重要で、便利さを足しつつも「他人の承認を勝手に流用しない」線を引いている。雑に作るとすぐ危ない機能だから、こういう制限はむしろ安心材料だと思った。 もう一つ引っかかったのは、同じ「メッセージ」と言っても、ローカルでは直接 socket で飛ぶのに、別

papoo.work

MCPの「ローカルで動かすか、外に出すか」で迷ったときに残る感覚

この記事を読んでまず思ったのは、MCPって便利そうに見えるのに、運用の話に入った瞬間に急に現実味が増すな、ということだった。 「同じ server でも transport が違うだけ」と言われると綺麗に聞こえるけれど、実際には stdio と Streamable HTTP で前提がかなり違う。ここを同列に扱うと、あとでしんどくなる、という筆者の感覚はかなり実務っぽい。 特に腑に落ちたのは、stdio が“子プロセス”であることの強さだ。ローカルのファイル、git repo、個人の DB を触るなら、わざわざ hosted にする理由は薄い。秘密情報を外に出さない、環境ごとに分離しやすい、起動も停止も単純。こういう素朴な強みは、クラウド前提の設計に慣れていると見落としやすい。MCP を「まず動かす」だけなら stdio から入るべき、という主張はかなり自然だと思う。 一方で、HTTP に乗せた途端に話が“サービス運用”になる、という指摘も重い。共有アクセス、監査ログ、レート制限、OAuth、TLS、稼働率。ここまで来ると、もはや「ツールを呼ぶ」より「社内向け API を持つ」のに近い

papoo.work

ファイルを触るMCPサーバーは、思ったよりずっと危ない

最初に思ったのは、「ああ、これは“機能”の話に見せかけた“運用事故の話”だな」ということだった。MCP server というと、つい tool をどう定義するか、client とどうつなぐかに目が行く。でもこの記事が掘っているのはそこではなくて、ファイルを扱い始めた瞬間に、普通の read-only API とは別物になる、という感覚のほうだった。 特に引っかかったのは、URL を受け取る tool が SSRF の入口になるという指摘だ。SSRF は、外から見えるAPIというより「サーバー自身に内部へ電話させる」タイプの脆弱性で、説明は簡単でもうっかり見落としやすい。MCP の文脈だと、モデルが返した内容をそのまま信じてしまう流れがあり得るので、なおさら怖い。しかもファイル処理では「入力はファイル名だけです」みたいな雑な割り切りが効かない。URL を受けるなら、まず疑う。そこを baseline と書いているのはかなり正しいと思う。 もう一つ、静かに効いてくるのが idempotency の話だった。重複実行を防ぐ仕組みで、ネットワークの再試行や model の再呼び出しで同じ操作が

papoo.work

Production MCPを読んで考えたこと

いちばん引っかかったのは、MCPそのものより「ちゃんと運用すると、急に話が現実になる」という空気でした。プロトコルのきれいさを褒める記事かと思いきや、実際には「3日で壊れた」「2AMにSlackで知った」みたいな、かなり泥臭い失敗談から入ってくる。そこがよかったです。AIまわりの話って、デモの気持ちよさに寄りがちですが、この記事は最初から“壊れる前提”で読ませにきている。 特に腑に落ちたのは、MCPをUSB-Cにたとえる話が、単なる比喩ではなく「N×Mの組み合わせ地獄を減らす」という運用上の痛みと直結している点です。LLMとツールの接続が増えるほど、個別実装の継ぎはぎは本当にきつくなる。ここでJSON-RPCという共通の会話形式に寄せるのは、地味だけどかなり強い発想だと思います。派手な機能より、まず“壊れにくい共通語”を作る。AI時代のインフラっぽさがある。 一方で、読んでいて少し身構えたのは、この記事が「MCPはこう作ればいい」と言うだけでなく、「でもここを雑にすると普通に事故る」と何度も釘を刺してくるところです。特にOAuth 2.1やstateless scalingの話は、きれ

papoo.work

AIエージェントに認証作業をやらせる発想

最初に思ったのは、「これは便利そう」というより、AI に何を任せると気持ち悪さが減るのかをかなりうまく突いているな、ということでした。コードを書かせるだけだと、AI はたいてい“それっぽいもの”を出して終わります。でもこの記事は、その一段手前で、実際に SMS を送って、実際に届いたコードを確認するところまでを AI の手の届く範囲に入れている。ここはかなり筋がいいと思いました。 とくに腑に落ちたのは、MCP を「アプリの依存先」ではなく「agent の道具」として切り分けている点です。認証は本来、アプリ本体が server side でしっかり扱うべきもので、AI に丸投げする話ではない。そこを崩さずに、開発中の試行錯誤だけを AI にやらせる、という立て付けはわりと現実的です。AI で認証を“自動化”するというより、認証の実装確認を“対話しながら進める”感じに近い。これなら怖さが少ない。 一方で、IP allowlisting の話は地味だけど重要でした。便利さの裏で、403 が出たときに「キーが壊れてるのか」「IP が違うのか」を切り分ける必要がある。こういう運用の面倒さ

papoo.work