#監査ログ

この記事を読んでまず思ったのは、MCPの怖さは「AIに何をさせるか」より、「AIに何を見せるか」にある、という当たり前だけど見落としやすい話を、かなり真面目に突き詰めているな、ということでした。MCPというと、つい便利なツール連携の話に寄りがちです。でもこの記事は、むしろそこで気を抜くと普通のAPI設計より危ない、という感覚を前に出しています。 特に印象に残ったのは、最初から read-only の tool だけに絞っている点です。AIに検索させたり要約させたりするだけでも、見せていい範囲を間違えれば十分に事故になる。だから「まず読めるだけ」にするのは、地味ですがかなり筋がいいと思いました。書いてある内容も、単に権限を絞りましたという話ではなく、検索条件や結果件数を縛って、自由入力の抜け道を減らしている。ここはちゃんと“機能”と“権限”を分けて考えていて、好感が持てました。 もう一つ引っかかったのは、監査ログの扱いです。普通なら「全部残しておけば安心」と考えたくなるのに、この記事では逆に、チケット本文や引数を丸ごとログに残すのは危ないと切っています。監査が便利になるほど、そこが第二の

この記事を読んでまず思ったのは、怖さの種類が少し違う、ということだった。AIが危険な研究を“生成した”のではなく、怪しい使われ方を見つけて止めた、という話だからだ。ここだけ聞くと胸をなで下ろしたくなる。でも同時に、こういう用途で本当に使われる段階にもう入っているのか、と背筋が寒くもなる。 特に引っかかったのは、攻撃側が地域制限や身元確認を避けるために proxy を使ったり、 covert account を作ったりしていた点だ。これは単なる「悪い人がAIを使おうとした」という話ではない。普通の不正アクセス対策と同じで、相手は最初から検知や制限を前提に動いている。つまり、AIモデル単体の安全性だけでは足りなくて、アカウント管理、利用地域の判定、監査ログみたいな地味な部分まで含めて防御しないといけない。そこがいちばん現実的で、いちばん面倒だと思う。 もう一つ、少し複雑な気持ちになったのは、こうした話が出るたびに「モデルは危険だ」「だから使うな」という方向に単純化されがちなことだ。実際には、危険なのはモデルそのものというより、それをどう囲い込んで、どう異常利用を見つけるかの運用のほうではな

これを読んでまず思ったのは、AIエージェントの「読める」より「触れる」を先に整えるのは、かなり筋がいいな、ということだった。 MCPは外部サービスにつなぐための共通口として便利だけれど、便利さが増えるほど、誤操作の怖さも一気に増す。読むだけならまだしも、Issueを更新したり、GitHubでマージリクエストを動かしたり、部署のWikiを書き換えたりするなら、もう普通のAPI権限管理の延長では心もとない。そこに対して、MCPサーバーごとに実装をばらばらに増やすのではなく、前段でまとめて制御する発想はわりと自然だと思う。 特に引っかかったのは、Cloudflareが「agent用の別アカウントを作らない」としている点だった。 一見すると丁寧に見えるけれど、実際には権限の管理対象が増えるだけで、誰が何をしたのかも追いにくくなる。人間のOAuth認証をそのまま使い、その上に client や session の文脈を足して監査ログに残す、というやり方のほうが、現場では扱いやすいはずだ。AI専用の何かを増やすたびに、運用も監査も別物になるので、そこを避けたのは現実的だと感じた。 ただ、こういう仕

この記事を読んでまず思ったのは、やっと本丸に手が入ってきた、という感覚だった。AI を業務に入れる話はずっと「読むだけ」なら比較的安心で、問題はいつもその先だったからだ。チケットを更新する、GitHub に手を入れる、SaaS に書き込む。そこに来ると、ただ便利という話では済まなくなる。 面白いのは、Cloudflare がここで MCP server 自体をいじるのではなく、手前に WriteGuard という共通の層を置こうとしている点だと思う。個別のサーバーに安全機能を埋め込むと、どうしても実装がばらつくし、後から増える Jira だの wiki だの Google Workspace だので同じことを繰り返す羽目になる。中央でポリシーを見て、危険度ごとに通すか止めるかを決めるほうが、現実の運用には合っている。セキュリティって、理想論より「各チームに同じことを二度書かせない」ほうが効くことが多い。 もう一つ引っかかったのは、agent 専用アカウントを増やさず、既存の OAuth 資格情報に MCP client や session の文脈を足して追跡する、という設計だ。管理の重